2

私の Ajax リクエストが X-Requested-With ヘッダーを設定する場合、このヘッダーが存在するかどうかの CSRF チェックをスキップできますか? （ユーザーセッションで）偽造できないと確信できますか？

4

2 に答える 2

3

広く開いているcrossdomain.xmlがない限り（このb / cをサイトでホストしている可能性がありますか？）、または訪問者が古いブラウザを使用している場合。あなたはかなり安全でなければなりません。「クラム」トークン（Cookieのランダムな値とリクエストの同じ値）の使用をお勧めしますが。このb/cフラッシュはX-Requested-Withを設定する可能性があり、古いIEバージョンでも可能だと思います（これについてはわかりませんが）。

「CSRFチェックをスキップできますか？」では、このクラム/トークンを参照していると思いますか？B / cチェックX-Requested-Withは、CSRFをチェックする方法です。

このヘッダーはオプションであるため、ブラウザが常に送信するとは限りません。このページによると、SSL経由では送信されないようです。

于 2010-03-05T00:39:08.770 に答える
0

これは、JQuery http://mylifewithjava.blogspot.com/2010/11/implicit-csrf-protection-of-ajax_22.htmlで問題を解決した方法です 。

于 2011-09-23T06:31:02.743 に答える