本次介绍使用CSRF令牌时容易犯错的一些地方。

下面的文章中明确写到，用会话验证执行kintone REST API时，需要CSRF令牌。（HTTP方法为POST, PUT, DELETE时）
获取CSRF令牌

在kintone内（JavaScript）执行API时，无论HTTP方法是什么都不需要CSRF令牌。但是有个例外，用JavaScript通过XMLHttpRequest执行REST API时，需要CSRF令牌。
※这种情况下，需要CSRF令牌的仅当HTTP方法为POST, PUT, DELETE时。

使用XMLHttpRequest的理由如下。

• 想要执行无法通过[kintone REST API 请求（kintone.api）]执行的REST API（文件上传、下载）。
  

参考Tips

上传文件时的3个必要步骤

• 此Tips介绍了为了能够执行未封装“kintone REST API请求（kintone.api）”的REST API（文件上传）而使用XMLHttpRequest时，必须要用到CSRF令牌的情况。

下载文件时的2个必要步骤

• 此Tips介绍了为了执行未封装“kintone REST API 请求（kintone.api）”的REST API（下载文件）而使用了XMLHttpRequest，但HTTP方法为POST, PUT, DELETE之外的方法，因此不需要CSRF令牌的情况。 

总结

此Tips在2014年4月版中确认过。