javascript - 如何保护页面免受高科技 CRSF 的影响

Question

技术范围:PHP、MySQL、Apache、javascript、ajax。

CRSF

用户已登录到他的安全页面。

页面使用随机标记和随机名称。 (用于输入)

   <input name="random_name" value="random_token" />

Random_name 和 Random_token 存储在用户 SESSION 中。

脚本检查 header (HTTP 1.1 - 引用者)。

在我看来，与 Ajax(页面输出)分析相比，这些方法无法保护我。

<小时/>

Ajax(页面输出)分析:

用户访问了错误页面。

加载页面后，Ajax 与他的页面建立了连接(使用准备好的 HTTP 引用 header )。并下载数据。

解析输出(输入)。

解析成功后。

使用 Random_name、Random_token 和准备好的引用 header 创建自己的请求。

<小时/>

安全系统已接受此操作。 (推荐人 - 确定， token - 确定)

如何避免它？

Answer 1

在设计 XMLHttpRequest 时，就已经考虑到了这种情况。结果是 XMLHttpRequest level 1(历史)根本不允许任何跨源请求。对于 XMLHttpRequest 级别 2(当前)，只有在服务器根据 Cross-Origin Request Sharing 允许的情况下，才允许客户端读取对跨源请求的响应。 .

因此，除非请求来自同一来源或者您允许任何来源，否则客户端不允许读取响应。