个人中心
文章发布
退出
作者热门文章
- html - 出于某种原因，IE8 对我的 Sass 文件中继承的 html5 CSS 不友好？
- JMeter 在响应断言中使用 span 标签的问题
- html - 在 :hover and :active? 上具有不同效果的 CSS 动画
- html - 相对于居中的 html 内容固定的 CSS 重复背景？
26
4
为什么浏览器对 XMLHttpRequest 应用同源策略？这对开发人员来说真的很不方便，但它似乎在真正阻止黑客方面几乎没有什么作用。
有一些变通方法，它们仍然可以包含来自外部来源的 javascript(JSONP 背后的力量)。
在很大程度上相互关联的网络中，这似乎是一个过时的“功能”。
最佳答案
因为 XMLHttpRequest 传递了用户的身份验证 token 。如果用户使用基本身份验证或某些 cookie 登录到 example.com，然后访问了攻击者.com，则后一个站点可以创建一个 XMLHttpRequest 到 example.com 并对该用户具有完全授权并读取用户可以读取的任何私有(private)页面(然后转发给攻击者)。
因为在 webapp 页面中放置 secret token 是阻止简单的跨站点请求伪造攻击的方法，这意味着攻击者.com 可以在未经他们任何同意或交互的情况下执行用户可以在 example.com 上执行的任何页面操作。全局 XMLHttpRequest 是全局跨站点脚本。
(即使您有一个未通过身份验证的 XMLHttpRequest 版本，仍然存在问题。例如，攻击者可以向您的 Intranet 上的其他非公共(public)机器发出请求，并读取它可以从中下载的任何文件，这些文件可能不会<script> 标签已经遭受了这种有限形式的漏洞，但是 XMLHttpRequest 的完全可读的响应会泄漏各种文件，而不是一些可以解析为 JavaScript 的不幸制作的文件。 )
关于security - 为什么 XMLHttpRequest 的同源策略，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/1830050/
26
4
0
作者：小林coding 计算机八股文网站：https://xiaolincoding.com 大家好，我是小林。 今天跟大家聊聊，常见的缓存更新策略。 Cache Aside（旁路缓存）策略； Rea
我使用 git 多年，最近为了一个项目改用 mercurial。在过去的 6 个月里，我已经学会了如何通过命令行很好地使用 Mercurial。 这可能是我的想象，但在我看来，mercurial 在
这个问题适合任何熟悉的人 Node.js express Passport 带有 Passport 的 JWT 身份验证(JSON Web token ) Facebook OAuth2.0 或谷歌
在 Coq 中，当试图证明记录的相等性时，是否有一种策略可以将其分解为所有字段的相等性？例如， Record R := {x:nat;y:nat}. Variables a b c d : nat.
我正在处理的项目目前只有一个 Bootstrap 文件，用于初始化应用程序中的所有 javascript 对象。类似于下面的代码 if(document.getElementById('nav'))
我正在考虑使用 OpenLDAP 在首次登录时添加密码到期和强制更改密码。 似乎使用 ppolicy 覆盖来实现这一点。 当我在 ppolicy.schema 中看到这个时，我开始使用 ppolicy
这基本上是我昨天问的一个问题的重新陈述，因为我得到的一个答案似乎没有理解我的问题，所以我一定是不清楚。我的错。 因为 WPF 依赖于 DirectX，所以它对卡和驱动程序的内部非常敏感。我有一个案例，
我是单点登录(SSO)概念的新手。我开始知道 SAML 请求和响应是实现 SSO 流程的最佳方式。然后我开始阅读有关 SAML2.0 的信息。我来了一个术语 NameIdPolicy 在 saml1.
关闭。这个问题需要更多 focused .它目前不接受答案。 想改进这个问题？更新问题，使其仅关注一个问题 editing this post . 5年前关闭。 Improve this questi
关闭。这个问题是opinion-based 。目前不接受答案。 想要改进这个问题吗？更新问题，以便 editing this post 可以用事实和引文来回答它。 . 已关闭 9 年前。 Improv
在 Azure 上创建新的 SQL 数据库时，它将“计算+存储”选项设置为“2 vCore + 32GB 数据最大大小”作为默认配置，但我不想使用 vCore，我可以更改它。但问题是，是否可以通过策略
我希望创建一项策略，防止在未启用身份验证的情况下创建应用服务(仅审核它们是不够的)。 以下策略可以正确识别未启用身份验证的现有资源: { "mode": "All", "policyRule"
我正在尝试从现有 AuditIfNotExists 策略创建 DeployIfNotExists 策略。部署时不会出错，但会错误提示“没有相关资源与策略定义中的效果详细信息匹配”。当评估政策时。当我将
我正在尝试从现有 AuditIfNotExists 策略创建 DeployIfNotExists 策略。部署时不会出错，但会错误提示“没有相关资源与策略定义中的效果详细信息匹配”。当评估政策时。当我将
我正在使用 wunderground 的 json api 来查询我网站上的天气状况。 api 为我提供了一个包含所有必要数据的漂亮 json 对象，但我每天只能进行多次调用。存储这些数据的首选方式是
我有一个名为可视化数据结构的项目。我有这样的 OOP 设计。 Class VisualDataStructures extends JFrame Class ControlPanel extends
这个问题在这里已经有了答案: 关闭 14 年前。 副本: Use javascript to inject script references as needed? Javascript 没有任何指
Android 应用程序遇到了一些 ANR 问题，因此我实现了 StrictMode 策略。以前从未使用过这个，所以希望有人可以帮助解释以下内容: 为什么日志显示 2 个看似相似的违规行为，除了前 4
我目前正在尝试解决一个问题。假设我们在路上行驶，我们知道路上有 10 家酒店。每家酒店都有 0 到 6 星。我的问题是:找到选择星级酒店的最佳解决方案。唯一的问题是:您不能回头去参观您已经决定不去的酒
我正在将我的应用程序迁移到 MVP。从这个 konmik 中获得了有关静态演示者模式的提示 这是我的简要 MVP 策略。为简洁起见，删除了大部分样板和 MVP 监听器。这个策略帮助我改变了方向，证明了
我是一名优秀的程序员,十分优秀！