javascript - 如果我需要身份验证 header ，使用 jsonp 是否安全？

Question

我想提供 jsonp 以便其他站点可以从我的站点获取 json 数据。我知道如果我使用 cookie 对用户进行身份验证会很危险，因为浏览器会将 cookie 与所有请求一起发送到我的网站，因此恶意页面可以在不询问用户的情况下代表我的用户发出经过身份验证的请求。

对我的服务的所有请求都必须使用请求上设置的特殊 header X-AG-AUTH 进行身份验证。必须在该 header 中设置标识用户的 secret token 。

恶意站点是否能够在用户不提供 secret token 的情况下通过 jsonp 从我的服务中获取数据？

Answer 1

嗯，要求 jsonp 调用的自定义 header 会使 jsonp 调用对来自其他域的请求无用，因为您的调用者无法设置这些 header 。

您可以使用有点类似的方法:需要一个 CSRF-prevention-style token在 POST 请求中作为参数传递。这将要求您与要允许调用端点的每个站点共享生成这些 token 的逻辑和 key 。当然，如果这些 key 中的任何一个在远程服务器端遭到破坏，您可能不会知道，直到为时已晚。

如果您愿意为那些使用非常旧的浏览器的人放弃功能，您可以使用 regular JSON over CORS *带有破坏解析器的前缀，以防止包含跨站点脚本。

我假设您的数据不是您想公开的，在这种情况下，您希望也需要 SSL。