能读取浏览器 Cookies，就能浏览用户网站数据了吧

• 資深大佬 : rodrick

  如果以已经读取为前提的话应该是的，所以说后端不要相信前端的数据，多验证多更新

• 資深大佬 : ggabc

  是这样，所以以前有人用 ifream 偷 cookie
• 資深大佬 : xiaoyang7545

  @ggabc iframe 能偷 cookie? 不能直接获取被嵌套页面的 cookie 吧。

• 資深大佬 : fisher335

  这个就是这样的，你认证的只需要 cookies，如果能拿到这个值，放到请求里面，就能构造登录结果

• 資深大佬 : wanguorui123

  HttpOnly

• 資深大佬 : dingwen07

  我的网站服务端记录了 Token 的 IP 和 UA，不一致会要求重登