禁止跨域访问是否就达到了防止CSRF攻击的作用？

Question

最近在研究防伪攻击的问题，很多人说可以通过检查访问来源来实现，就此联想到跨域访问不是一样控制了访问来源吗，如果我直接禁止了跨域访问，是否就相当于防止了CSRF的攻击？

Answer 1

思路的方向是对的，但是实现方式不对，同源策略是浏览器的基本默认策略，但是并不能应付 CSRF。
最简单的 CSRF 攻击是利用 a 标签伪造 get 请求，而任何网站都可以把你的接口放到它的 a 标签里，因此跨域策略对这种攻击没有任何阻挡作用，堵住这种漏洞的方式是使用 post 请求和后台验证 referer。