X-Requested-With标头服务器检查是否足以防止ajax驱动的应用程序的CSRF？
关于X-Requested-With标头服务器检查是否足以防止ajax驱动的应用程序的CSRF，我们可以从以下几个方面来讨论：
- 什么是CSRF？
跨站请求伪造（CSRF）是一种网络攻击方式，攻击者通过伪造用户身份，利用受害者权限和身份在不知情的情况下，向服务器发送请求，从而达到攻击的目的。
- 什么是X-Requested-With标头？
X-Requested-With标头是一个非标准的HTTP头，通常用于标识AJAX请求。当一个请求是通过AJAX发送的时候，这个标头会被设置为XMLHttpRequest的值。服务器可以通过检查这个标头来识别AJAX请求，并采取相应的措施。
- X-Requested-With标头是否足以防止CSRF？
虽然通过检查X-Requested-With标头可以识别AJAX请求，但这并不能完全防止CSRF攻击。因为攻击者可以很容易地伪造这个标头，并且在大多数情况下，服务器并不会对这个标头进行严格的验证。
- 如何有效地防止CSRF攻击？
为了有效地防止CSRF攻击，通常需要采取以下措施：
- 使用CSRF令牌：CSRF令牌是一种随机生成的唯一标识符，通常以隐藏字段的形式嵌入到表单中。每次生成一个新的令牌，并在服务器端进行验证。攻击者无法获取到正确的令牌，因此无法伪造请求。
- 使用同源策略：确保网站遵循同源策略，这样可以防止跨站请求。
- 验证HTTP Referer头：检查HTTP请求的Referer头，确保请求来自于可信任的来源。
- 使用双重cookie验证：在发送敏感请求之前，将一个cookie设置为一个随机值，然后将这个值作为表单字段的一部分。服务器将验证这个值是否与cookie中的值匹配。
总之，虽然X-Requested-With标头可以用于识别AJAX请求，但它并不能完全防止CSRF攻击。为了确保应用程序的安全，建议采用多种防御措施，包括使用CSRF令牌、同源策略、验证HTTP Referer头和双重cookie验证。
相关·内容
2回答
下面我有一些代码，这样当用户在mvc控制器中调用一个方法时，它会做一些检查，看看它是否是Ajax调用。如果Ajax返回一个json响应，则返回一个url字符串(Security页面)。当我在visual studio中运行时，代码工作得很好，因此它承认调用是ajax调用，但是在生产服务器变量"isAjax“上设置为false。有什么理由让它在可视(本地iis)而不是服务器上本地工作吗？
var isAjax = (filterContext.RequestContext.HttpContext.Request["X-Requested-With"] == "XM
浏览 8提问于2022-09-30得票数 0
假设攻击者拥有一个域，attacker.com。攻击者希望在其上创建一个网页，以便对victim.com服务器进行CSRF攻击。目标页面是victim.com/target.php，它只接受POST请求，其特定的Accept头为(例如，application/x-foo )。
通过这样的设置，我无法找到攻击者创建CSRF页面的方法：
如果攻击者执行，那么我看不到攻击者设置Accept头的方法，因此target.php文件不会执行任何操作
如果攻击者制造了一个const xhr = new XMLHttpRequest(); xhr.setRequestHeader('Accept
浏览 0提问于2019-07-22得票数 1
回答已采纳
我注意到表单提交中使用的令牌来防止CSRF攻击，尽管在2016年，很多人正在迁移到JS前端& restful后端。我很困惑，用这种方法不需要CSRF令牌了吗？
我认为CSRF是表单提交的一个问题，因为所有的会话数据都是用每一个请求发送的。但是AJAX是不同的吗？也就是说，没有发送所有cookie(会话数据)？
您可以假设我的API是由CORS (通过TLS)保护的，也就是说，访问控制-允许-原产地只为我期望从其收集的数据的站点设置。
所以我要问的是: CORS & AJAX是否调用了避免在我的前端代码中生成令牌的方法？
浏览 0提问于2016-03-03得票数 2
回答已采纳
1回答
在上创建一个web服务，并从.向它发送一个跨域ajax请求。检查Firebug或Live 或任何其他您想要的插件中的标头。
请求标头中没有X-Requested-With Header字段的跟踪。
但是，如果您从同一个域向相同的服务发送ajax请求(例如，)，，您将看到该标头字段)。
为什么对跨域ajax请求省略X-Requested-With头字段？
更新：我知道JSONP调用本质上不是AJAX调用。因此，您将不会在JSONP调用中看到任何X-Requested-With头字段。
浏览 4提问于2011-11-17得票数 53
回答已采纳
2回答
几乎所有关于反CSRF机制的文档都指出，CSRF令牌应该在服务器端生成。不过，我想知道是否有必要。
我想在这些步骤中实现反CSRF：
没有服务器端生成的CSRF令牌；
在浏览器端，在每个AJAX或表单提交中，我们的JavaScript生成一个随机字符串作为标记。在实际AJAX或表单提交发生之前，将此令牌写入cookie csrf；并将令牌作为_csrf添加到参数中。
在服务器端，每个请求都应该有cookie csrf和提交的参数_csrf。对这两个值进行了比较。如果他们是不同的，这意味着这是一个CSRF攻击。
服务器端不需要发出CSRF令牌，只需进行检查；令牌完全在浏览器端
浏览 2提问于2016-12-14得票数 4
我用django做了几个移动应用程序，现在我正在开发一个chrome扩展程序。我希望我的用户能够使用应用程序/扩展将POST请求发送到服务器，但是有什么方法不首先要求服务器获得CSRF令牌呢？每次我们想要提交数据时，它只会使应用程序避免发出两次请求。例如，我想更新我的个人资料在我的社交媒体应用程序或更新钱包的铬分机。最好打开配置文件视图，输入数据并将其推送到服务器。如果我必须打开配置文件，然后等待它从服务器获取一个令牌，然后我就可以提交数据，这就不那么简单了。还有别的办法吗？还是每次我想提交数据时都要提出多个请求？
另外，稍微澄清一下，CSRF阻止网站提交带有用户数据的表单。但是，怎样才能阻止
浏览 11提问于2014-02-08得票数 5
回答已采纳
有可能吗？
试图将我的脚本安全性移到服务器级别。
使用PHP时，只需检查$_SERVER['HTTP_X_REQUESTED_WITH']是否设置为XMLHttpRequest (jQuery添加了)。
我想也许更好的问题是，如何将X-Requested-With请求头添加到我可以使用mod_rewrite RewriteCond检查的变量中？
浏览 0提问于2022-01-06得票数 1
回答已采纳
我无法通过$请求->ajax()，我可以获得和dd($data)，但是它总是返回false，我的code.could有什么问题吗？谢谢。
路由
Route::post('test', 'BlogController@test');
视图
<form method="POST" id="form-ajax" action="/test">
<input type="hidden" name="_token" value="{{ csrf_toke
浏览 1提问于2016-02-28得票数 1
回答已采纳
使用我已经注意到的，Ajax请求中包含了一个名为X-Requested-With的头。
jQuery、dojo和YUI等其他JavaScript库是否会在其Ajax请求中添加标头？它总是被称为X-Requested-With吗？这是一个标准吗？
原型的完整标题：
X-Requested-With: XMLHttpRequest
X-Prototype-Version: 1.5.0_rc0
浏览 0提问于2011-08-12得票数 4
回答已采纳
1回答
检查Ajax请求
、、、
我研究了如何在C#中检查请求是否通过AJAX发送，但它似乎对我不起作用。我的代码如下。我使用一种方法在客户端AJAX页面(在我的例子中，使用的是activeXobject )。带ajaxed的页面正在服务器端检查ajax属性的请求，但是X- request With属性都没有返回任何内容(我在打印输出时得到空白)。想法？
Ajax方法(Javascript)
/*
* Ajax page loads with url
* @param url : URL to call for ajax page load
* @param element : Element ID to be updated
浏览 0提问于2012-04-18得票数 1
回答已采纳
我试图让我的用户，一旦他们登录，通过Javasscript使用我自己的API，如所描述的。
我安装了护照。我的web中间件被定义为
'web' => [
\App\Http\Middleware\EncryptCookies::class,
\Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
\Illuminate\Session\Middleware\StartSession::class,
// \Barryvdh\Cors\H
浏览 0提问于2019-01-22得票数 2
回答已采纳
大多数CSRF解决方案似乎坚持将CSRF令牌作为POST数据的一部分发送。
在我的情况下，发送的数据是json，我不控制发送的内容(而且我不想开始干扰json)。因此，我正在考虑将CSRF令牌作为标题发送。但是，我的应用程序的遗留部分仍然需要能够在主体中发送令牌(例如，从html表单提交)。
因此，如果主体或头中出现有效的CSRF令牌，则我的CSRF保护必须允许请求。这是一个安全风险，而不是坚持令牌在体内？
浏览 5提问于2014-06-17得票数 4
回答已采纳
我正试图为我的网站做CSRF漏洞分析。我的网站使用一个反CSRF令牌，这是由服务器发送到客户端与会话cookie，然后Javascript在客户端刮出它的cookie，并将它作为一个单独的XSRF令牌头发送回服务器。
我尝试从BurpSuite对我网站上的一个易受攻击的XSS表单进行CSRF攻击，方法是在拦截请求后生成CSRF PoC，然后将其保存在html文件中，然后在一个新选项卡中打开该文件，并在另一个选项卡中打开一个活动会话。我发现浏览器不能自动发送XSRF令牌，但是它可以发送所有cookie和其他标头。
我想知道是否可以使用脚本从客户端创建一个新的或操作现有的XSRF报头，并将其与请求
浏览 0提问于2015-09-18得票数 1
2回答
我有以下系统在我的网络应用程序，我想知道它是否安全。
Cookie包含CSRF令牌。
应用程序检测cookie中的CSRF令牌。
应用程序将令牌放置在标头中。
服务器对标头中的令牌进行验证。
我还没有看到任何关于是否可以使用cookie作为存储CSRF令牌的地方的确切信息。请指点我。
编辑:更详细的角度查找cookies中的CSRF令牌，当它找到一个标记时，它会添加一个带有此值的标头。然后，服务器确定标头值是否合法。
浏览 0提问于2015-07-09得票数 3
我被困住了，我几乎一整天都在解决这个问题。我试图将csrf安全集成到我们的网站上，它是用play Framework2.5.9和angularjs1.x编写的。我添加了csrf的东西，并试图通过邮递员进行测试。虽然它作为内容类型被设置为x-www-form-urlencoded，但是当它被设置为application/json时不起作用。它给了我
Content-Length →0
Date →Tue, 14 Mar 2017 13:22:13 GMT
error →No CSRF token found for application/json body
我的儿子是
{
"u
浏览 1提问于2017-03-14得票数 1
回答已采纳
我想我已经安排好了，但如果我错了，我很想听听。我们有一组Python+Angular.js应用程序，它们使用JWT令牌进行身份验证，其中令牌使用秘密密钥进行加密，有效负载标识用户，令牌存储在cookie集中，仅为HTTP，并且是安全的。由于各种原因，这对我们来说很好，我们可以跨多个API后端使用一个Python中间件应用程序，我们的令牌会在每个请求中自动发送到域，并且我们可以完全绕过使用会话。我已经在这里和其他地方检查过这个部分，我相信它是好的。(我的问题是：http_只适用于带有JWT令牌的cookie )
我的新问题是如何处理CSRF令牌，因为我们根本不使用会话。我的想法如下：
在上面描述
浏览 0提问于2016-12-28得票数 3
回答已采纳
1回答
当我使用Chrome试用我新的响应式web应用时，我在移动设备上遇到了一个错误。我已经用几种不同的方式完成了从添加php头到在ajax请求中传递头的所有工作。在web上，我使用了CORS toggle，这是一个Chrome扩展，可以让你打开和关闭CORS，它解决了web上的问题。然而，我似乎找不到这样的移动解决方案。无论如何，我可以在移动Chrome上绕过CORS？？
我已经尝试了所有这些方法，但似乎都不起作用。
php选项1：
<?php
header('Access-Control-Allow-Origin: *');
header('Access-C
浏览 0提问于2017-10-23得票数 0
2回答
我读过关于CSRF的文章，以及如何使用不可预测的同步器令牌模式来防止它。我不太明白它是怎么工作的。
让我们来看看这个场景：
用户将使用以下表单登录到网站：
<form action="changePassword" method="POST">
<input type="text" name="password"><br>
<input type="hidden" name="token" value='asdjkldssdk22332n
浏览 6提问于2015-07-09得票数 34
回答已采纳
1回答
跨域问题。从HTTP到相同域的HTTPS。
服务器需要X-Requested-With头，所以我在jQuery ajax选项中设置它：
'headers': {'X-Requested-With': 'XMLHttpRequest'}
然后，jQuery发送选项：
OPTIONS /my/test/ HTTP/1.1
Host: www.my.dev
Origin: http://www.my.dev
Access-Control-Request-Method: POST
Access-Control-Request-Headers: x-req
浏览 1提问于2015-04-22得票数 0
3回答
为了防止CSRF攻击，创建一个加密的cookie是否可以防止CSRF攻击？此外，还要对照目标来源检查推荐人。我不能更改1000 s的页面以将令牌嵌入到每个提交中，而且我也没有会话状态。
浏览 0提问于2016-11-15得票数 1
1回答
我正在尝试使用fetch API从输入中发布多个文件，但表单数据在追加后仍然为空 我查看了here、here、here、here和here的答案，都没有用 我使用Laravel框架作为后端，这是我的刀片视图文件 <meta name="csrf-token" content="{{ csrf_token() }}">
<input class="form-control" type="file" id="pro-image" name="image[]" multiple onc
浏览 25提问于2019-10-16得票数 0
回答已采纳
2回答
我在应用程序中使用axios，但是设置请求的内容很困难。
当前有一个使用$.ajax调用URL的方法，如下所示：
$.ajax({
method: 'POST',
data: { 'accountId': accountId },
url: serverUrl,
/* success: ... */
});
当我在Chrome工具中查看这个请求时，在最后我看到如下所示：
现在，我试图对axios做同样的事情：
axios.post(serverUrl, { accountId: accountId })
.then(/* ... *
浏览 0提问于2018-02-12得票数 2
回答已采纳
在40:08分钟的会议上，休伯特提到了防止CSRF攻击的最佳方法是做以下工作：
生成一个随机的id服务器端-让我们称之为CSRF id。
将此id添加到jwt cookie中。还添加一个带有id的响应头(例如，csrfId: xxx)
让客户端将id保存到本地存储。
在每个请求中，客户端都应该附加一个带有这个id的头。
对于每个请求，服务器应该验证接收到的cookie中的id是否与接收到的标头中的id匹配。
我的问题是:如何阻止CSRF攻击者手动读取cookie，获取ID，然后将其添加到攻击请求中？
另外，本地存储不会使ID易受XSS + CSRF组合攻击的影响吗？
浏览 10提问于2022-08-27得票数 2
我在localhost上运行我的node/express js应用程序。我正在向Instagram的api发出一个'GET‘请求，并且一直收到这个错误：
XMLHttpRequest cannot load https://api.instagram.com/oauth/authorize/?client_id=******&redirect_uri=http://localhost:4000/feed&response_type=code.
No 'Access-Control-Allow-Origin' header is present on t
浏览 2提问于2016-06-16得票数 2
1回答
带有URL参数的post请求会被csrf黑客攻击吗？
如果服务器端只有“消费应用程序/json”保护。
使用HTTPS。
如果你有合适的链接，请分享。
浏览 1提问于2018-09-14得票数 0
我用的是cas 5.x。
我有cas-server和两个网络应用程序client-1和client-2。
目前，我可以单独登录和退出，但是在以下步骤中有一个问题：
access client-1，它将要求我登录cas服务器，然后在登录成功后将我重定向回client-1。
通过401.页面中的单击一个按钮，通过ajax访问client-2的受保护资源，但是这个ajax调用返回ajax
如果我从浏览器地址栏直接在client-2中访问受保护的step 2资源，它就能工作。
ajax无法处理重定向导致这个问题，因此如何解决这个问题？
我的ajax调用是：
//test() is in client-
浏览 2提问于2020-09-19得票数 0
假设HTTP服务器根本不从cookie读取数据。所有数据都来自请求的不同部分:头、体、url等。这个事实是否保证没有CSRF攻击？
浏览 0提问于2019-08-09得票数 2
回答已采纳
1回答
我的应用程序结构如下
1)在api.mydomain.com中运行的API服务器
2)在VUejs中运行的前端www.mydomain.com应用程序
因此，我通过httponly cookie实现了身份验证。
但是很少与CSRF令牌实现相混淆。
Mysolution
1).来自url的CSRF令牌(如/getCSRF )。
2)将其存储在本地存储器中。
3)随每一次请求一起发送。
但我不认为这是谁有建议的好办法？
浏览 1提问于2018-01-31得票数 4
回答已采纳
我们在Spring应用程序中使用JWT身份验证。为了防止CSRF攻击，我们希望通过自定义HTTP报头而不是cookie将令牌发送回服务器。
有没有一种方法可以让Thymeleaf在生成的链接中使用XMLHttpRequest？我们不希望使用javascript onclick处理程序替换所有th:href锚点的模板。
浏览 1提问于2016-11-02得票数 8
1回答
我被网上的信息弄糊涂了。
我正在使用CSRF保护，在后端使用Spring安全。
我想问一下，当我使用Ajax方法在HTTP报头中传递令牌时，从我的角度前端发送CSRF令牌安全吗？
因为根据Spring文档，我不应该使用GET方法，但是另一方面，它没有提到在HTTP头中传递GET Ajax是否可以。
第二,
如果我不应该使用GET，如何使用REST服务& CSRF保护？我应该放弃GET方法还是CSRF保护？
浏览 1提问于2016-11-05得票数 0
回答已采纳
我的网站有一个单一的页面，有2个表单和3个基于ajax的帖子调用。我在其中一种表格中使用了csrf_token。此外，为了能够执行csrf安全的ajax调用，我使用了官方文档：和这个博客：上发布的指南。
正如建议的那样，通过在我的javascript文件中使用这段代码，我似乎能够在没有任何问题的情况下执行POST请求。
问题：
在其中一个表单中使用csrf_token以及javascript代码(上述)是否足以确保csrf伪造？我应该在第二种形式中使用csrf_token吗？
正如本文中所建议的，所以post 似乎使用相同的令牌应该是可以的。但是，为了明确起见，我使用的是{% csrf
浏览 1提问于2015-08-06得票数 1
回答已采纳
我将数据从ajax发送到控制器/方法，但当ajax命中方法时面临302重定向，但它仍然显示302错误。如果我直接从url访问ajax方法并返回任何内容，它就可以工作，但是如果我使用ajax调用ajax()函数，它就会重定向到登录视图。为什么？
控制器
public function ajax(Request $request){
return 1;}
路由
Route::group(array('module'=>'Guest','namespace' =>
'App\Modules\Guest\Controllers&#
浏览 0提问于2019-05-13得票数 1
我正在尝试从javascript代码运行Citrix应用程序。我有一个示例可以很好地使用powershell，只需显示first call： #Gets required tokens
$headers = @{
"Accept"='application/xml, text/xml, */*; q=0.01';
"Content-Length"="0";
"X-Requested-With"="XMLHttpRequest";
"X-Citrix-IsUsingHTTPS"=&#
浏览 52提问于2019-05-01得票数 0
我知道，F5's大叶ASM提供保护，以防止CSRF的链接和形式。
但是，当涉及到AJAX调用时，它们的文档有点模糊。我知道他们在AJAX调用的上下文中不支持CSRF，但我以前对这个特定的系统没有经验。
我很清楚，AJAX调用提供了保护，但CSRF是其中之一吗？还是CSRF只适用于表单和内联链接？
浏览 0提问于2016-01-08得票数 2
回答已采纳
我使用Angular 1.4.8从RESTfull应用程序接口获取数据。对于用户身份验证，我们决定使用自定义HTTP头：
var requestConfig = {
headers: {
"authorization-token": "A317C3D6-74B1-DA99-FE55-8141E95D3085"
}
};
现在，我正在尝试发出一个GET请求：
$http.get(config.apiUrl+'/api/v1/orders/', requestConfig).success(function(data){
浏览 2提问于2016-03-25得票数 0
2回答
我曾尝试实现一个基于的跨域AJAX请求。
我添加了以下标头：
header('Access-Control-Allow-Origin: *');
header('Access-Control-Allow-Methods: POST, GET, OPTIONS');
header('Access-Control-Max-Age: 1000');
header('Access-Control-Allow-Headers: Content-Type');
header("Access-Control-Allow-Header
浏览 0提问于2013-06-19得票数 1
回答已采纳
我很难用Basic向我的一个使用jQuery启用CORS的web服务器发出简单的GET请求。
问题似乎被链接到基本8月，因为当我在服务器上禁用它时，请求可以正确地工作。但是，启用Basic Auth后，它将在No 'Access-Control-Allow-Origin' header is present on the requested resource. Origin 'http://localhost' is therefore not allowed access. The response had HTTP status code 401中失败。
我
浏览 1提问于2015-05-18得票数 0
我正在使用python的requests模块来尝试登录网页。我打开一个requests.session()，然后获得cookie和包含在元标记中的csrf-token。我使用用户名、密码、一个隐藏的输入字段和来自元标记的csrf-token构建我的有效负载。在此之后，我使用post方法，并传递登录url、cookie、有效负载和头部。但是在那之后我就不能访问登录页面后面的页面了。我做错了什么？
这是我执行登录时的请求头：
Request Headers:
:authority: www.die-staemme.de
:method: POST
:path: /page/auth
:schem
浏览 0提问于2018-10-28得票数 2
回答已采纳
我很难让jquery (1.6.1)与本地服务器(在同一台机器上)对话，尽管据我所知，服务器产生的内容看起来是正确的。
作为一个测试，我将服务器输出放在一个文件中，并访问它，它工作如下：
var url = "“
$.ajax({
url: url,
dataType: "json",
cache: false,
type: 'GET',
error: that.searchError,
success: that.searchSuccess,
浏览 2提问于2012-04-02得票数 1
回答已采纳
我正在尝试使用角引导和弹簧引导来实现登录功能。
我遵循spring教程，但在我的例子中，我的角项目托管在localhost:4200和spring :8080上。
现在我向spring服务器发送一个'/user‘请求。我的角度代码看起来是：
const headers = new HttpHeaders(credentials ? {
authorization: 'Basic ' + btoa(credentials.username + ':' + credentials.password)
} : {});
thi
浏览 0提问于2018-06-03得票数 1
回答已采纳
2回答
我有一个ASP.NET MVC5单页web应用程序，它使用angularjs对Chrome Web API2应用程序进行ajax调用，所有这些都可以在Chrome developer tools的网络选项卡中看到。但是，Glimpse没有捕获ajax调用，无论是在HUD中，还是在Ajax选项卡中。我已经在web.config的glimpse内容类型中添加了application/json。我还在我的angularjs ajax调用中添加了X-Requested-With头：
$httpProvider.defaults.headers.common = { 'X-Requested-W
浏览 1提问于2014-07-12得票数 4
我使用的是一个第三方库，它通过new XMLHttpRequest生成一个原始的XMLHttpRequest。
这绕过了我的CSRF保护，并被我的rails服务器拒绝。
有没有办法在实例化时全局地向XMLHttpRequest的所有实例添加一个预定义的CSRF令牌($('meta[name=csrf-token]').attr('content'))？
浏览 2提问于2014-06-13得票数 11
回答已采纳
此链接："http ://new%20behavior%20and%20include%20it%20in%20the%20enpoint%20configuration“
说：
“必须有新的行为，并将其包括在端点配置中”
在customHeaders中添加web.config来启用WCF服务的CORS还不够吗，比如：
<httpProtocol>
<customHeaders>
<add name="Access-Control-Allow-Origin" value="*" />
浏览 0提问于2013-02-26得票数 0
回答已采纳
1回答
我的应用程序中有两个部分-- Angular前端和rails服务器。因为它是不同的域，所以请求在默认情况下不起作用。有很多关于这方面的工作人员，包括堆栈，但它不适合我。
这是我在角度控制器中的方法：
$scope.test =->
# transform = (data) ->
# $.param data
$http.post('http://localhost:3000/session/create', 'token=some',
headers:
'Access-Control-Allow-Orig
浏览 0提问于2013-10-08得票数 8
回答已采纳
设想情况：
我在我的应用程序中有一个页面，用户在会话/ CSFR过期后似乎要打开它，并返回到很好的位置。
当他们试图从该页面提交数据时，会话被拒绝，我有一个功能来打开登录模式。
提交时，首先向服务器发出一个新的CSRF令牌
接收到该令牌后，它将使用该新令牌，并将其与用户凭据一起发送以生成新会话。
然后，他们可以继续他们以前做的事情。
问题是，在步骤4中，由于CSRF令牌无效，请求失败。
在服务器端，这两条路由看起来如下所示(使用express，c冲浪)：
const csrf = require("csurf");
const csr
浏览 2提问于2022-02-02得票数 0
我有一个正在运行的Laravel 5项目，并且我正在尝试使用AJAX调用将一些输入数据发送回服务器。然而，我总是遇到内部服务错误。
我有一个"user“资源，我正在使用它：
代码如下：
routes.php：
Route::resource('user', 'UserController');
我已经设置了UserController.php和User.php模型。
我将Ajax调用包装在一个react.js函数中：
saveAndContinue: function(e) {
e.preventDefault()
// Get val
浏览 3提问于2015-07-01得票数 0
1回答
我得到的Not injecting HSTS header错误，但仍然不知道谷歌后，这条消息。
org.springframework.security.web.header.writers.HstsHeaderWriter$SecureRequestMatcher@30cc5ff :不注入HSTS头，因为它与requestMatcher requestMatcher不匹配
我所做的事情如下。
API请求
Web配置
@Override
protected void configure(HttpSecurity http) throws Exception {
浏览 15提问于2019-10-27得票数 2
回答已采纳
1回答
我正在为Instagram创建一个登录工具，到目前为止这是有效的，但我想让它，以便每次我登录时，我有一个不同的IP，我怎么做呢？这个脚本总是在我的本地机器上运行，但是当我在我的服务器上运行它时，有时我会得到错误。我相信这是因为它注意到来自同一IP的多个登录。 代码： import re
import requests
from bs4 import BeautifulSoup
from datetime import datetime
link = 'https://www.instagram.com/accounts/login/'
login_url = 'ht
浏览 18提问于2021-08-13得票数 0
1回答
在完成特定操作后，我有这个ajax调用
$.ajax({
type: "POST",
url: $("#myform").prop('action'),
data: $("#myform").serialize(),
xhrFields: {withCredentials: true},
beforeSend: function(xhr) {
xhr.set
浏览 0提问于2012-09-22得票数 2
2回答
阅读这个，他们建议在cookie中设置一个csrftoken，然后让客户端框架将它放在一个将在服务器端请求上验证的头中。但是，在cookie中使用令牌不是因为cookie是根据每个用户的请求发送的吗？
还是Django在头中检查该值的“安全性”，而不是检查cookie值本身？
我理解为什么这适用于同步提交，但在这种情况下，csrftoken直接写入页面，而不是存储在cookie中，这似乎更安全。
来自
检查请求是否有有效的会话cookie是不够的，我们需要检查是否在发送到应用程序的每个HTTP请求中都发送了唯一的标识符。CSRF请求将没有这个有效的唯一标识符。CSRF请求不具有此唯一请求标识
浏览 3提问于2016-11-04得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
对象存储
即时通信 IM
实时音视频活动推荐
腾讯云开发者
