个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
25
4
为什么决定使用 XMLHTTPRequest 进行 XML 调用不应该跨域边界进行调用？您可以从其他域检索 JavaScript、图像、CSS、iframe 以及我能想到的任何其他内容。为什么 Ajax HTTP 请求不允许跨域边界？考虑到我能看到它被滥用的唯一方式就是有人将 JavaScript 注入(inject)到页面中，这似乎是一个奇怪的限制。但是，在这种情况下，您可以简单地将 img、script 或 iframe 元素添加到文档中，以使其请求第三方 URL 并将其发送到服务器。
[编辑]
一些答案指出了以下原因，让我们指出他们没有构成禁止这样做的主要原因的原因。
您可以在不使用此功能的情况下进行 XSRF 攻击。作为一般规则，根本不使用 XMLHTTPRequest，只是因为很难以与所有主要浏览器兼容的方式创建 XMLHTTPRequest。如果您希望他们加载您的 URL，只需在 URL 中添加一个 img 标签会容易得多。
<script type="text/javascript">
$.post("http://some-bank.com/transfer-money.php",
{ amount: "10000", to_account: "xxxx" })
</script>
可以通过以下方式完成
<body onload="document.getElementById('InvisbleForm').submit()"
<div style="display:none">
<form id="InvisbleForm" action="http://some-bank.com/transfer-money.php" method="POST">
<input type="hidden" name="amount" value="10000">
<input type="hidden" name="to_account" value="xxxxx">
</form>
</div>
</body>
您不会再制造任何不安全感。你只是给想要永久使用它的开发人员带来了不便。任何想要使用此功能进行邪恶(又名很棒)的人都可以使用其他方法来实现这一点。
我将 bobince 的答案标记为正确，因为他指出了关键问题。由于 XMLHTTPRequest 允许您使用凭据 (cookie) 向目标站点进行发布，并读取从站点发回的数据以及发送人员凭据，因此您可以编排一些 javascript 来提交一系列表单，包括确认表单，包含生成的任何随 secret 钥，这些随 secret 钥是为了防止 XSRF 而放置的。通过这种方式，您可以浏览目标网站，例如银行，而银行的网络服务器将无法判断这不仅仅是提交所有这些表单的普通用户。
最佳答案
Why are Ajax HTTP Requests not allowed to cross domain boundaries.
因为 AJAX 请求 (a) 使用用户凭据提交，并且 (b) 允许调用者读取返回的数据。
这些因素的结合可能会导致漏洞。有人建议添加一种省略用户凭据的跨域 AJAX 形式。
you could simply add an img, script, or iframe element to the document
这些方法都不允许调用者读取返回的数据。
(除非是故意设置为允许这样做的脚本，以允许跨域脚本编写 - 或者有人犯了一个可怕的错误。)
Your can do XSS attacks without using this at all. Posting to third party site
这不是 XSS 攻击。这是跨站点请求伪造攻击 (XSRF)。有一些已知的方法可以解决 XSRF 攻击，例如包含一次性或加密 token 来验证提交是否是故意来自用户而不是从攻击者代码启动。
如果您允许跨域 AJAX，您将失去这种保护措施。攻击代码可以从银行站点请求页面，读取该页面上的任何授权 token ，然后在第二个 AJAX 请求中提交它们以执行转账。这将是跨站点脚本攻击。
关于ajax - 为什么跨域Ajax是一个安全问题？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/466737/
25
4
0
我正在学习 Spring 安全性，但我对它的灵活性感到困惑.. 我知道我可以通过在标签中定义规则来保护网址 然后我看到有一个@secure 注释可以保护方法。 然后还有其他注释来保护域(或 POJO)
假设有一个 key 加密 key 位于内存中并且未写入文件或数据库... byte[] kek = new byte[32]; secureRandom.nextBytes(kek); byte[]
我有 Spring Security 3.2.0 RC1 的问题 我正在使用标签来连接我 这表示“方法‘setF
我正在创建一个使用 Node Js 服务器 API 的 Flutter 应用程序。对于授权，我决定将 JWT 与私钥/公钥一起使用。服务器和移动客户端之间的通信使用 HTTPS。 Flutter 应用
在过去的几年里，我一直在使用范围从 Raphael.js 的 javascript 库。至 D3 ，我已经为自己的教育操纵了来自网络各地的动画。我已经从各种 git 存储库下载了 js 脚本，例如 s
在 python 中实现身份验证的好方法是什么？已经存在的东西也很好。我需要它通过不受信任的网络连接进行身份验证。它不需要太高级，只要足以安全地获取通用密码即可。我查看了 ssl 模块。但那个模块让我
我正在尝试学习“如何在 Hadoop 中实现 Kerberos？”我已经看过这个文档 https://issues.apache.org/jira/browse/HADOOP-4487我还了解了基本的
我有一个带有 apache2、php、mysql 的生产服务器。我现在只有一个站点 (mysite.com) 作为虚拟主机。我想把 phpmyadmin、webalizer 和 webmin 放在那里
前些天在网上看到防火墙软件OPNsense，对其有了兴趣，以前写过一个其前面的一个软件M0n0wall（ 关于m0n0wa
我在 Spring Boot 和 oauth2(由 Google 提供)上编写了 rest 后端，在 "/login" 上自动重定向。除了 web 的 oauth 之外，我还想在移动后端进行 Fire
我想调用类 Foo，它的构造函数中有抽象类 Base。我希望能够从派生自 Base 的 Derived 调用 Foo 并使用 Derived覆盖方法而不是 Base 的方法。 我只能按照指示使用原始指
如何提高 session 的安全性？ $this->session->userdata('userid') 我一直在为我的 ajax 调用扔掉这个小坏蛋。有些情况我没有。然后我想，使用 DOM 中的
我目前正在为某些人提供程序集编译服务。他们可以在在线编辑器中输入汇编代码并进行编译。然后编译它时，代码通过ajax请求发送到我的服务器，编译并返回程序的输出。 但是，我想知道我可以做些什么来防止对服务
就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用或专业知识的支持，但这个问题可能会引起辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the he
目前，我通过将 session 中的 key 与 MySQl 数据库中的相同 key 相匹配来验证用户 session 。我使用随机数重新生成 session ，该随机数在每个页面加载时都受 MD5
Microsoft 模式与实践团队提供了一个很棒的 pdf，称为:“构建安全的 asp.net 应用程序”。 microsoft pdf 由于它是为 .Net 1.0 编写的，所以现在有点旧了。有谁知
在 Lua 中，通常会使用 math.random 生成随机值和/或字符串。 & math.randomseed , 其中 os.time用于 math.randomseed . 然而，这种方法有一个
就目前而言，这个问题不适合我们的问答形式。我们希望答案得到事实、引用资料或专业知识的支持，但这个问题可能会引发辩论、争论、投票或扩展讨论。如果您觉得这个问题可以改进并可能重新打开，visit the
我们有一个严重依赖 Ajax 的应用程序。确保对服务器端脚本的请求不是通过独立程序而是通过坐在浏览器上的实际用户的好方法是什么 最佳答案 真的没有。 通过浏览器发送的任何请求都可以由独立程序伪造。 归
我正在寻找使用 WebSockets 与我们的服务器通信来实现 web (angular) 和 iPhone 应用程序。在过去使用 HTTP 请求时，我们使用请求数据、url、时间戳等的哈希值来验证和
我是一名优秀的程序员,十分优秀！