سوال 1 از دید فنی اشتباهه رفقا

میدونم که پیش خودتون گفتید مرورگر که jwt رو خودکار نمیزاره توی درخواست ها پس چجوری ممکنه csrf بشه ؟
مگه نباید اندپوینت با کوکی کار کنه ؟
درسته . csrf غیر ممکنه .
ولی یه شرطی داره اگه توی اون سایت xss داشته باشیم چطوریه داستان ؟
با تزریق کد جی اس ما میتونیم با وب سایت سیم اورجین بشیم و jwt رو از داخل لوکال استوریج بخونیم و یه درخواستی بنویسیم که هدر Authorization رو بگیره و اضافه کنه و ما با هویت کاربر درخواست بفرستیم و تیک اورش کنیم .

ولی باگ اصلی میشه Account Takeover via XSS