REST и CSRF (подделка запроса перекрестного сайта)

Действительно ли Подделка Запроса перекрестного Сайта возможна против УСПОКОИТЕЛЬНОГО сервиса не сохраняющего состояние?

Я не говорю о псевдо-REST, где сервер помнит, что Вы зарегистрированы на пути cookie. Я говорю о чистом no-application-state-on-the-server REST без cookie.

Я использую аутентификацию SSL и Стандартную аутентификацию. Для каждого запроса, которым заголовок Авторизации должен быть там. В смысле JSP нет никакой "сессии", хотя существует своего рода сессия на уровне SSL.

Поэтому давайте предположим, что я просматриваю законную веб-страницу, которая выполняет запросы Ajax, и так или иначе я перехожу к другой странице на той же вкладке или другой вкладке, и та страница выполняет тот же запрос Ajax. (Я предполагаю, что на законной веб-странице нет никакого вредоносного кода; это - другая вещь полностью, и что-либо возможно в этом случае.)

Когда вторая страница выполнит запрос Ajax, браузер поставит тот же заголовок Авторизации? т.е. браузер скажет, "О, Вы хотите пойти ТУДА снова? Эй, у меня просто, оказывается, все еще есть ключ!"?

Кроме того, разве злонамеренный сценарий не мог сделать, запрос xhr, затем в обратном вызове берут запрос от ioargs, получают заголовок Авторизации и un-Base64 имя и пароль?