1. 首頁
  2. 問答
  3. Ajax是否要求CSRF安全？

Ajax是否要求CSRF安全？

2010-03-01 73 views
2

如果我的Ajax請求設置了X-Requested-With標題，如果此標題存在，我可以跳過CSRF檢查嗎？我可以確定它不能被僞造（用戶會話）嗎？Ajax是否要求CSRF安全？

來源

2010-03-01 Dinoboff

回答

3

只要你沒有一個開放的crossdomain.xml（你可能有這個B/C你在你的網站上託管Flash內容？），或者你的訪問者有舊的瀏覽器;你應該比較安全。儘管我會推薦使用「crumb」-token（cookie中的隨機值和請求中的相同值）。這個b/c閃光燈可能會設置X-Requested-With，我認爲舊的IE版本可以讓你也這樣做（雖然不確定這一點）。

「我可以跳過CSRF檢查嗎？」我假設你參考了這個crumb/token？ B/c檢查X-Requested-With是一種檢查CSRF的方法。

由於這個標頭是可選的瀏覽器可能並不總是發送它，並且根據this page他們似乎不通過SSL。

來源

2010-03-05 00:39:08 MyGGaN

相關問題

 相關問題