ajax - 是否应该限制 URL 字符串的长度以提高安全性？

Question

我正在使用 ColdFusion 8 和 jQuery 1.7.2。

我正在使用 CFAJAXPROXY 将数据传递给 CFC。这样做会创建一个 JSON 数组(参数集合)并通过 URL 传递它。字符串可能很长，因为要传递大量数据。

我正在工作的网站现有代码将任何 URL 查询字符串的长度限制为 250 个字符。这是在 application.cfm 文件中通过测试查询字符串的长度来完成的。如果任何查询字符串大于 250 个字符，则请求被中止。这样做的目的是确保黑客或其他恶意代码不会通过 URL 字符串。

现在我们使用查询字符串在 URL 中传递 JSON 数组，我们发现 Ajax 请求被频繁中止。

我们还有许多其他安全措施，例如从代码中去除任何“<>”标签并使用 CFQUERYPARAM。

我的问题是为了安全起见限制 URL 字符串的长度是个好主意还是根本无效？

Answer 1

URI 长度和安全性之间绝对没有相关性，更多的是一个问题:

1. 将您提供给用户代理的信息量限制在“需要知道的基础”。这包括您运行的应用程序服务器的类型和相关约定、您运行的 Web 服务器和相关约定以及主机上的操作系统。这些本质上可以被视为漏洞。
2. 减少利用这些漏洞的影响，即引入补丁、确保正确配置等。

如上所述，在 Web 层，这不仅包括 GET(您关心的问题)，还包括 POST、PUT、DELETE 对 HTTP 资源的任何其他操作。