javascript - 如何以安全的方式读写 OData 调用？ (比如不容易受到 CSRF 攻击？)

Question

打开 OData 最安全的方法是什么？ read/GET 端点没有 CSRF 攻击的风险，如 this一个？

我还没有查看源代码，但是 MSFT ODATA library 是如何实现的？在这方面与 jQuery 进行比较:

Answer 1

OData 旨在通过仅返回对象作为 JSON 结果来防止链接中描述的 JSON 劫持攻击，这使得有效负载成为无效的 JavaScript 程序，因此不会被浏览器执行。

这实际上与您使用的是 datajs 还是 jQuery 无关。我没有查看您从 jQuery 获得的确切结果，但我知道 datajs 会“展开”结果，这样您就可以获得看起来更自然的结果，而无需任何人工顶级对象。

特别是，.NET 的 WCF 数据服务实现不支持开箱即用的 JSONP，尽管有几个流行的简单解决方案可以添加它。不过此时，您基本上已经选择允许从其他域查看数据，因此不应为用户敏感数据执行此操作。