security - X-Requested-With header 的可能值？

Question

x-requested-with header 让我有点困惑。我知道它可以用来抵御 CSRF 攻击，并且它用于识别 Ajax 调用......但它到底是什么？

它只是告诉您请求是什么......用什么请求？

是否存在 header 存在但设置为“XMLHttpRequest”以外的某个值的合理情况？我会这样想，但我从未见过它设置为其他任何东西。

Answer 1

就像 User-Agent header 一样，它由客户端提供，可以包含任何字面上的内容。

对于任何服务器端安全检查来说，它根本不可靠。