Utilizar o modo de uso especificado do HTTP para GET e POST, em que solicitações GET nunca terão um efeito permanente, é uma boa prática, mas não é suficiente para evitar CSRF. Atacantes podem escrever JavaScript ou ActionScript que invisivelmente envia um formulário POST para o domínio de destino. No entanto, filtrando GETs inesperados, impede-se que alguns ataques particulares, tais como ataques de cross-site usando URLs de imagens maliciosas ou endereços de link e de cross-site vazem informações através de elementos do <script> (JavaScript hijacking); mas também evita (não-relacionadas à segurança) problemas agressivos com web crawlers e link prefetching. [5]