Проблемы безопасности веб-приложений от XSS и CSRF
Я создаю сайт, используя django rest api и reactjs. Я совсем новичок в этом деле и уже прочитал несколько статей, а также вопросы здесь о различных проблемах безопасности с CSRF и XSS атаками.
В настоящее время мой дизайн включает заголовок аутентификации jwt bearer в дополнение к токену csrf, и оба они хранятся в cookies браузера. Однако jwt-токен должен быть установлен вручную в заголовках, а не автоматически браузером.
Является ли это лучшей практикой?
Можно ли исключить из проверки CSRF мой собственный внешний домен, так как он является доверенным?
Я понимаю, что аутентификация cookie является уязвимостью для CSRF, поэтому я поместил токен в заголовки. С другой стороны, я знаю, что XSS-атака может получить доступ и прочитать куки, поэтому я думаю, что это не лучший подход.