asp.net - 当用户告诉浏览器 "refresh"时，是否应该填写 HTTP_REFERER ？

Question

我正在尝试使用 referrer header 检查作为深度防御(即许多安全技术之一，同时注意完全依赖任何一个)。

似乎有时 MSIE 在刷新时不包含引荐来源网址。这是预期的行为吗？无论如何我可以检测到刷新，所以我知道缺少引荐来源网址是可以的吗？

是的，我知道引荐来源网址可以被自定义浏览器欺骗。只是说，如果黑客确实想要入侵我的小网站，他将需要投入时间来设置合适的引荐来源网址。

Answer 1

鉴于rfc2616没有精确指定“重新加载”时发生的情况(它只提到 Referer:如果 URI 是从没有自己的 URI 的源获得的，则不得发送)，可能存在一些可变性。

但是，鉴于您在“安全”上下文中交谈，我想知道您是否期望 Referer: 在从 HTTPS 访问页面转到 HTTP 访问页面并点击重新加载时出现，第 15.1.3 节有对此的具体提及:

Clients SHOULD NOT include a Referer header field in a (non-secure)
HTTP request if the referring page was transferred with a secure
protocol.

我不会信任 Referer:从安全的角度来看。首先，因为标准本身提到这应该是可调整的(rfc2616，第 151 页):

The information sent in the From field might conflict with the user's
privacy interests or their site's security policy, and hence it
SHOULD NOT be transmitted without the user being able to disable,
enable, and modify the contents of the field. The user MUST be able
to set the contents of this field within a user preference or
application defaults configuration.

其次，从实用的角度，控制去修补这个领域e.g. Firefox 在 about:config, network.http.sendRefererHeader 中，记录在案，例如在here .

如果想要发送任意的 referer header ，那么“更多工作”只是下载和启动的问题 curl可以选择将引用者设置为他们喜欢的任何内容。 (--referer )。因此，尝试将它用于任何一种类似安全的处理都是一个薄弱的想法。