javascript - 通过 <script> 标签加载到网页中的 JavaScript 文件的源可以被该页面中的其他 JavaScript 读取吗？-6ren

javascript - 通过 <script> 标签加载到网页中的 JavaScript 文件的源可以被该页面中的其他 JavaScript 读取吗？

转载作者：行者123 更新时间：2023-12-02 05:20:13

25

4

我正在研究 CSRF 预防，我有一个关于返回 JSON 的 GET URL 的问题，以及该 URL 返回的数据是否可以通过第三方网页访问。

例如，假设这个请求

GET HTTP 1.1 /rest/foo.js 
Host: myhost.com

返回动态生成的 JSON，如下所示，带有每个 session 的 CSRF token :

{user:"My name", userId:1234, CSRFToken: "EFB8765AC2134ACB23486"}

请注意，这是不是一个 JSONP 请求。现在，假设我在snekythirdparty.com 上有一个网页，内容如下:

<html>
  <head>
    <script language="javascript" src="http://myhost.com/rest/foo.js" />
  </head>
  ...
</html>

我的问题是:脚本，Flash小程序或其他第三方网站页面中的任何其他内容(例如这个)是否可以读取foo.js的源代码以获取CSRF token ？

最佳答案

您不必隐藏您的 CSRF token
CSRF 保护的所有目的只是为了确保对您站点的请求确实来自您的站点(或您可以授予他们授权的其他站点)。

所以我真的不明白你想在你的例子中实现什么:
如果您想阻止 foo.js 从另一台服务器调用，您必须强制人们在请求该文件时发送 CSRF token ，然后您在服务器中检查该 token 是否实际匹配 session key ，例如之前设置的验证该用户的 session key 确实最初来自您的网站。

如果 json {user:"My name", userId:1234, CRSFToken: "EFB8765AC2134ACB23486"} 静态地写在这个javascript中，那么你误解了CSRF保护的所有概念。

您必须根据一些用户唯一数据(可以是数据库中的数据，可以是 session ID 等)动态创建 token ，然后在您的站点周围传递 token 并阻止对您想要保护的页面的请求，如果此 token 无效/存在。

CSRF 保护可以在常规形式和 ajax 调用中完成 - 就像你选择的那样

Good Explanation

关于javascript - 通过 <script> 标签加载到网页中的 JavaScript 文件的源可以被该页面中的其他 JavaScript 读取吗？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/15518957/

25

4

0

文章推荐： php - 如何使用php获取客户端计算机的MAC ID

文章推荐： java - 选择、复制和粘贴图像

文章推荐： php - 使用 phpexcel 如何设置列格式？

javascript - <script></script> 有用了吗
我正在审查一家海外开发公司为我们制作的一些 html。他们在外部脚本加载标签内使用注释——据我所知，这只对非常老的 javascript 不敏感的浏览器有用，他们曾经将脚本呈现为文本——是否有任何现代
html - <script></script> 是否具有现代用途？
这个问题在这里已经有了答案: Are HTML comments inside script tags a best practice? [closed] (10 个答案) 关闭 8 年前。我正在
javascript - 哪个更好 : <script type ="text/javascript">. ..</script> 或 <script>...</script>
哪个更好用或者更方便: ... 或 ... 最佳答案你真的需要类型属性吗？如果您使用的是 HTML5，则不会。否则，是的。 HTML 4.01 和 XHTML 1.0 指定了 type属性是必需的，
javascript - 哪个更好 : <script type ="text/javascript">. ..</script> 或 <script>...</script>
哪个更好用或者更方便: ... 或 ... 最佳答案你真的需要类型属性吗？如果您使用的是 HTML5，则不会。否则，是的。 HTML 4.01 和 XHTML 1.0 指定了 type属性是必需的，
javascript - <script></script> 还是 <script/>？
这个问题在这里已经有了答案: 关闭 11 年前。 Possible Duplicate: Why don't self-closing script tags work? 我刚刚发现 HTML 中的
xml - <![CDATA[<![CDATA[some text]]]]><![CDATA[>]]> 在 XML 中是什么意思？
这个问题在这里已经有了答案: What does in XML mean? (13 个答案) 关闭 8 年前。我不熟悉 XML 及其相关技术。这个 CDATA 标签总是在开头，然后是一些东西
javascript - HTML中导入多个js文件<script/>和<script></script>的区别
我最近遇到这个问题，我试图在我的 HTML 页面中导入多个 js 文件，如下 - 但我面临的问题是，它只加载第一个 js 文件，而其余的 js 文件没有加载。我还检查了浏览器中的网络部分，剩下的
Javascript 语法 <script/> VS <script></script> - 最奇怪的事情
Duplicate Why don’t self-closing script tags work? 我正在编写一个 ASP.net 页面，它在 JS 文件中有一些用于客户端身份验证的 Javascr
javascript - 什么是 <script type ="text/javascript"></script>?
在这个博客中， http://www.bswebdev.com/2008/12/javascript-change-input-box-type-to-password/我发现以下代码段用于在 IE6
javascript - 为什么在 HTML5 中使用 <script></script> 而不是 <script/>？
为什么以下行在许多浏览器(mozilla、IE)中不起作用？为什么一定要这样设置？最近我将我的项目从 XHTML 转换为 HTML5，我遇到了一些小但令人不安的不兼容性。最佳答案虽然脚本元
html - 
是什么意思？这个和其他类似的 IE 代码行在 HTML5 文档中意味着什么？如果我必须使某些 css 功能与 IE8 或更低版本兼容，上面提到的代码行或其中提到的 html 类是否有帮助？如果
html - <meta name ="title"> 标签和 <title></title> 标签的区别
请说明之间有什么区别标记和标签。 Page title 如果两者都使用，哪个最优先？我观察到一些网站同时具有和 tags 和两者相同，这是预期的，请确认？如果我们不使用标签标题，我
javascript - <script/> 与 <script></script> 使用 webpack 和 Angular
这个问题已经有答案了: Why don't self-closing script elements work? (12 个回答) 已关闭 7 年前。经过两天的 Angular 与 Webpack
css -  不工作
我有这个代码: .roll-link { display: inline-block; overflow: hidden; vertical-align: top;
html - 这个 HTML 代码 (`<!ENTITY % html.content …>` , `<!ELEMENT …>` , `<!ATTLIST …>` ) 写在 w3.org 是什么意思？
我在 the HTML 4.01 specification at w3.org 中阅读了有关 HTML 文档结构的内容.然后我偶然发现了这段代码；它看起来像某种定义。你们中的任何人都可以详细说明它的
javascript - 很难找到恶意 JS 行 : </title><script src=http://hgbyju. com/r.php ></script>
我正在网站上工作 http://palacechemicals.co.uk/它以某种方式感染了恶意(但良性)的 JavaScript 行: 在第 251 行。脚本尝试加载的 URL 返回 404，但
python - Python 中的正则表达式 : what's wrong with (? <!\\)\".+(?<!\\)\"？
尝试解析引号内的 JSON 键名称，包括转义引号。我的想法是:在引号之间取任何内容而不是，并以\ 为前缀 (?
javascript - <!--[if lt IE 9]> 不工作
我有个小问题。我正在尝试使用在 IE 中打开时有条件地设置一个唯一的 css 文件，但它不起作用。我试着穿上 , 关于 , 关于 footer .我尝试更改我的 IE 版本，但没有任何效果。
javascript -/*<![CDATA[*/和//<![CDATA[ 之间的区别
我是 Blogger 博客用户。我曾经看到一个在 CDATA 标记内定位脚本的模板，如下所示: /**/ 虽然，我之前看到过类似的代码，如下所示: // 唯一不同的是/*
html - 为什么 "<! --"注释掉一条样式规则，而 "<!--"却没有？
让我放心。我刚学 HTML。根据http://www.w3.org/TR/html-markup/syntax.html#comments以及我见过的许多其他网站，例如 http://www.w3s

首页

博学

6Ren·AI

商城

javascript - 通过 <script> 标签加载到网页中的 JavaScript 文件的源可以被该页面中的其他 JavaScript 读取吗？