ajax - 服务器方法在 AJAX : Is it secure 中公开

Question

当我们使用 AJAX 调用服务器方法时，我们必须指定它的名称和参数。安全方面可以吗？没有人担心这个吗？

Answer 1

这里确实存在一个安全问题:也就是说，您可以使用 AJAX 调用的任何方法也可以被攻击者使用他们想要的任何参数调用。因此，您需要确保这样暴露的任何方法即使被恶意调用也是无害的。

如果您确实需要公开通过 AJAX 执行某些潜在有害操作的方法，则需要确保这些方法仅在用户经过正确身份验证的情况下才会执行其预期操作，并且操作的范围仅限于用户的授权范围做。身份验证信息应该以某种方式传输，使攻击者难以拦截它，例如在 HttpOnly cookie 中。 .

此外，此类方法应该受到保护，不受 CSRF attacks 的影响。 ，攻击者可以通过它欺骗经过身份验证的用户调用他们不打算调用的方法。标准的解决方案是将辅助身份验证 token 作为参数传递给该方法，并且仅在 token 和 cookie 都匹配时才允许访问。

简短的版本是:通过 AJAX 公开的任何内容都是公开的。将其视为 attack surface 的一部分.