X-Requested-With 学习笔记
ztj100 2024-12-03 20:03 15 浏览 0 评论
最近看到一段server端的code， 依据 X-Requested-With header来判断是否 ajax 请求。
public boolean isAjax(HttpServletRequest request) {
if(request != null) {
isAjax = "XMLHttpRequest".equals(request.getHeader("X-Requested-With"));
}
return isAjax;
}X-Requested-With 首先它是自定义的header，是由类似 jQuery, axios 这样的lib 发ajax请求时加上的。
所以上面的server端check要配合着 browser side 的lib来才行，如果lib没有加，你可以自己考虑加。
那么为什么jQuery要加上这个呢，有一篇文章说的比较清楚。
CSRF Mitigation for AJAX Requests
https://markitzeroday.com/x-requested-with/cors/2017/06/29/csrf-mitigation-for-ajax-requests.html
学习后记录如下:
- 如果在浏览器用js发跨域请求，虽然浏览器端会报错，但实际server端已经接受了，只是浏览器不处理返回结果而已，就是请求实际已经跨域，这会造成CSRF attack。
- 很多lib在ajax请求时会加上 X-Requested-With header， 而这个header在跨域请求时是不让传输的。
- 利用这一点, 每次提交ajax请求时在服务端验证：一定要有X-Requested-With， 没有就不处理，可以防止CSRF，和token是同样的效果，但不用生产、储存和传输 token。
- 这个对form提交不管用，因为form提交时没法手动加上X-Requested-With header。
- form 的情况下默认就是可以跨域提交的，所以还是要依靠CSRF token。
- 所以用X-Requested-With替代CSRF token来保证安全的方案只有在submit动作全部由ajax发起的情况下才能使用。
总结下来就是利用了自定义header没法跨域传输来提供了一种轻量级的CSRF解决方案。
相关推荐
- 使用Python编写Ping监测程序（python 测验）
-
Ping是一种常用的网络诊断工具，它可以测试两台计算机之间的连通性；如果您需要监测某个IP地址的连通情况，可以使用Python编写一个Ping监测程序；本文将介绍如何使用Python编写Ping监测程...
- 批量ping!有了这个小工具，python再也香不了一点
-
号主：老杨丨11年资深网络工程师，更多网工提升干货，请关注公众号：网络工程师俱乐部下午好，我的网工朋友。在咱们网工的日常工作中，经常需要检测多个IP地址的连通性。不知道你是否也有这样的经历：对着电脑屏...
- python之ping主机（python获取ping结果）
-
#coding=utf-8frompythonpingimportpingforiinrange(100,255):ip='192.168.1.'+...
- 网站安全提速秘籍!Nginx配置HTTPS+反向代理实战指南
-
太好了，你直接问到重点场景了：Nginx+HTTPS+反向代理，这个组合是现代Web架构中最常见的一种部署方式。咱们就从理论原理→实操配置→常见问题排查→高级玩法一层层剖开说，...
- Vue开发中使用iframe（vue 使用iframe）
-
内容：iframe全屏显示...
- Vue3项目实践-第五篇(改造登录页-Axios模拟请求数据)
-
本文将介绍以下内容:项目中的public目录和访问静态资源文件的方法使用json文件代替http模拟请求使用Axios直接访问json文件改造登录页，配合Axios进行登录请求，并...
- Vue基础四——Vue-router配置子路由
-
我们上节课初步了解Vue-router的初步知识，也学会了基本的跳转，那我们这节课学习一下子菜单的路由方式，也叫子路由。子路由的情况一般用在一个页面有他的基础模版，然后它下面的页面都隶属于这个模版，只...
- Vue3.0权限管理实现流程【实践】（vue权限管理系统教程）
-
作者：lxcan转发链接：https://segmentfault.com/a/1190000022431839一、整体思路...
- swiper在vue中正确的使用方法（vue中如何使用swiper）
-
swiper是网页中非常强大的一款轮播插件，说是轮播插件都不恰当，因为它能做的事情太多了，swiper在vue下也是能用的，需要依赖专门的vue-swiper插件，因为vue是没有操作dom的逻辑的，...
- Vue怎么实现权限管理?控制到按钮级别的权限怎么做?
-
在Vue项目中实现权限管理，尤其是控制到按钮级别的权限控制，通常包括以下几个方面：一、权限管理的层级划分...
- 【Vue3】保姆级毫无废话的进阶到实战教程 - 01
-
作为一个React、Vue双修选手，在Vue3逐渐稳定下来之后，是时候摸摸Vue3了。Vue3的变化不可谓不大，所以，本系列主要通过对Vue3中的一些BigChanges做...
- Vue3开发极简入门(13):编程式导航路由
-
前面几节文章，写的都是配置路由。但是在实际项目中，下面这种路由导航的写法才是最常用的：比如登录页面，服务端校验成功后，跳转至系统功能页面；通过浏览器输入URL直接进入系统功能页面后，读取本地存储的To...
- vue路由同页面重定向（vue路由重定向到外部url）
-
在Vue中，可以使用路由的重定向功能来实现同页面的重定向。首先，在路由配置文件（通常是`router/index.js`）中，定义一个新的路由，用于重定向到同一个页面。例如，我们可以定义一个名为`Re...
- 那个 Vue 的路由，路由是干什么用的?
-
在Vue里，路由就像“页面导航的指挥官”，专门负责管理页面（组件）的切换和显示逻辑。简单来说，它能让单页应用（SPA）像多页应用一样实现“不同URL对应不同页面”的效果，但整个过程不会刷新网页。一、路...
- Vue3项目投屏功能开发!（vue投票功能）
-
最近接了个大屏项目，产品想在不同的显示器上展示大屏项目不同的页面，做出来的效果图大概长这样...
欢迎 你 发表评论:
- 一周热门
- 最近发表
- 标签列表
-
- idea eval reset (50)
- vue dispatch (70)
- update canceled (42)
- order by asc (53)
- spring gateway (67)
- 简单代码编程 贪吃蛇 (40)
- transforms.resize (33)
- redisson trylock (35)
- 卸载node (35)
- np.reshape (33)
- torch.arange (34)
- npm 源 (35)
- vue3 deep (35)
- win10 ssh (35)
- vue foreach (34)
- idea设置编码为utf8 (35)
- vue 数组添加元素 (34)
- std find (34)
- tablefield注解用途 (35)
- python str转json (34)
- java websocket客户端 (34)
- tensor.view (34)
- java jackson (34)
- vmware17pro最新密钥 (34)
- mysql单表最大数据量 (35)