X-Requested-With 学习笔记

ztj100 2024-12-03 20:03 12 浏览 0 评论

最近看到一段server端的code，依据 X-Requested-With header来判断是否 ajax 请求。

public boolean isAjax(HttpServletRequest request) {
    if(request != null) {
        isAjax = "XMLHttpRequest".equals(request.getHeader("X-Requested-With"));
    }
    return isAjax;
}

X-Requested-With 首先它是自定义的header，是由类似 jQuery, axios 这样的lib 发ajax请求时加上的。

所以上面的server端check要配合着 browser side 的lib来才行，如果lib没有加，你可以自己考虑加。

那么为什么jQuery要加上这个呢，有一篇文章说的比较清楚。

CSRF Mitigation for AJAX Requests

https://markitzeroday.com/x-requested-with/cors/2017/06/29/csrf-mitigation-for-ajax-requests.html

学习后记录如下:

如果在浏览器用js发跨域请求，虽然浏览器端会报错，但实际server端已经接受了，只是浏览器不处理返回结果而已，就是请求实际已经跨域，这会造成CSRF attack。
很多lib在ajax请求时会加上 X-Requested-With header，而这个header在跨域请求时是不让传输的。
利用这一点, 每次提交ajax请求时在服务端验证：一定要有X-Requested-With，没有就不处理，可以防止CSRF，和token是同样的效果，但不用生产、储存和传输 token。
这个对form提交不管用，因为form提交时没法手动加上X-Requested-With header。
form 的情况下默认就是可以跨域提交的，所以还是要依靠CSRF token。
所以用X-Requested-With替代CSRF token来保证安全的方案只有在submit动作全部由ajax发起的情况下才能使用。

总结下来就是利用了自定义header没法跨域传输来提供了一种轻量级的CSRF解决方案。

ajax header

上一篇：一文带你理清同源和跨域
下一篇：烧脑巨作，Spring Boot请求处理(常用参数注解使用)

X-Requested-With 学习笔记

相关推荐

取消回复欢迎你发表评论:

Vue自定义Hook示例:useUrlState（vue中的自定义指令如何使用）

Vue-实现自定义插件弹窗（vue 实现弹窗）

旗舰机新标杆 OPPO Find X2系列正式发布售价5499元起

如何快速切换node版本?利用n包快速切换nodejs版本

什么是幂等?分布式锁如何实现业务幂等?

如何发个 npm 包?

手把手教你搞定菜单权限设计，精确到按钮级别，建议收藏

【Python机器学习系列】建立多层感知机模型预测心脏疾病

详解MySQL 字符串拼接之concat\concat_ws\group_concat

让Jenkins自动部署你的Vue项目「实践」

X-Requested-With 学习笔记

相关推荐

取消回复欢迎 你 发表评论:

Vue自定义Hook示例:useUrlState（vue中的自定义指令如何使用）

Vue-实现自定义插件弹窗（vue 实现弹窗）

旗舰机新标杆 OPPO Find X2系列正式发布 售价5499元起

如何快速切换node版本?利用n包快速切换nodejs版本

什么是幂等?分布式锁如何实现业务幂等?

如何发个 npm 包?

手把手教你搞定菜单权限设计，精确到按钮级别，建议收藏

【Python机器学习系列】建立多层感知机模型预测心脏疾病

详解MySQL 字符串拼接之concat\concat_ws\group_concat

让Jenkins自动部署你的Vue项目「实践」

取消回复欢迎你发表评论:

旗舰机新标杆 OPPO Find X2系列正式发布售价5499元起