子域POST请求-CSRF保护？

Question

我有一个使用Bolt（ http://bolt.cm ）构建的网站，该网站在主域上运行（我们称其为www.domain.tld）。 我想创建一个可以安装在子域上的Laravel应用程序（我们称其为formengine.domain.tld）。 该应用程序将用于处理来自主站点的表格，并发送电子邮件。

问题是，我该如何确保它的安全性？ 由于两个应用程序不同，我如何在主站点上获得CSRF令牌？

目前，我知道我将使用引荐来源网址检查，这样人们不仅可以在需要的时候按时从另一个站点发送表单，或者可以通过API手动发送表单。 我什至可以添加X-FormPassword参数，其中Bolt根据一组特定的模式和规则随机生成密码，然后将其发送到Laravel应用并进行解码。 如果正确，它将允许发送表格。

但是，这就是我现在能想到的。 如果我不能使用CSRF令牌，是否有更好的方法？

谢谢，
麦克风

Answer 1

是的，所以CORS似乎是答案。 如果需要，我可以添加进一步的保护，但是我认为这是可行的方法。