程序员经验分享-hwhale

JSONP 使用安全吗？

2023-12-30

使用 JSONP 时有什么安全问题需要考虑吗？


Update：JSONP 是执行跨域请求的常见 hack。现代浏览器现在具有跨源资源共享功能，IE8+ 具有类似的 XDomainRequest。看http://enable-cors.org/ http://enable-cors.org/了解更多信息。

JSONP 只是一个允许您使用回调的脚本。但您应该注意跨站请求伪造（CSRF） http://www.squarefree.com/securitytips/web-developers.html#CSRF.

只要您控制脚本和服务器，JSONP 就不会比脚本包含更不安全。除非您有向登录用户返回敏感数据的 JSONP 服务。恶意站点可以向该服务发送请求（希望用户登录您的站点），并检索数据。该服务可以检查请求的引荐来源网址，但可以使用 Flash 欺骗引荐来源网址（感谢 Chris Moschini）。

想象一下这个场景： - 用户登录他的网上银行帐户。在用户浏览器中存储会话 cookie。该网站有一个 jsonp 服务，其中包含有关用户及其帐户的敏感信息。 - 其他站点不会知道用户已登录，但他们可以进行疯狂猜测并尝试访问 jsonp 服务。由于用户有一个会话 cookie，浏览器将收到响应，并且没有什么可以阻止网站执行 ajax post 将敏感数据保存在其服务器上。

2012 年 6 月 28 日更新：如果您想防范 CSRF 攻击，您应该阅读安全专家撰写的这篇深入博客文章：http://erlend.oftedal.no/blog/?blogid=130 http://erlend.oftedal.no/blog/?blogid=130

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系:hwhale#tublm.com(使用前将#替换为@)

security

json

JSONP

JSONP 使用安全吗？ 的相关文章

  • 将 Python 列表（JSON 或其他）插入 MySQL 数据库

    所以我在Python中有一堆数组数据 嗯 相反 我有一个清单 我试图将此数组存储到 MySQL 数据库中的单个单元格中 我尝试使用 JSON 来序列化我的数据 但也许我不明白 JSON 是如何工作的 因此 在连接到我的数据库后 我尝试了上游

  • 使用 JSONP 时出现“无效标签”？

    我的 JSONP 请求有问题 数据不会显示 Firebug 显示 无效标签 错误 我的 JavaScript ajax url link dataType jsonp beforeSend function xhr var base64 b

  • 在 JAX-WS 中使用安全性的最佳实践是什么

    这是场景 我有一些需要保护的 Web 服务 JAX WS 目前 为了身份验证需求 我提供了额外的 SecurityWService 它为授权用户提供了一些需要在请求其他服务时描述的 userid 和 sessionid 使用一些java安全

  • Java：BCrypt 的用途很好吗？

    我想知道我当前的 BCrypt 实现是否正确 我知道我没有使用BCrypt checkpw 这可能会导致问题 所以这是我在这里验证的主要原因 Hasher java容器类 abstract public class Hasher publi

  • 从 Json 纯 JavaScript 创建表

    我有一个带有多个可以更改的键的 Json 如下所示 Var children num 6 name me phone 7 num 8 name him phone 9 我想要一个带有标题的表格 号码 姓名 电话 我怎样才能只用 JavaSc

  • “JSONArray 文本必须在 null 的第 1 个字符处以 '[' 开头”

    只是想知道这个错误可能意味着什么 我从下面的代码中得到它 try JSONArray jArray new JSONArray result for int i 0 i

  • 参考上一个问题：为什么 VBA 没有加载所有发票详细信息

    除了上一个问题之外 我们在销售发票上仍然存在相同的加载失败问题 下面的 VBA Json 仍然仅加载一行或第一个产品详细信息行 而不是与表中该销售发票合作的所有产品行详细信息 我们希望下面的 VBA 能够根据参数加载发票详细信息 例如 如果

  • 后退按钮 (Chrome) 在 Play Framework 中获取 Json 而不是 HTML

    各位 我有一个 Web 应用程序 我在其中对同一资源的 JSON 和 HTML 表示重复使用了相同的路由 现在我们将其称为 foo details 该页面是从 bar details 链接的 因此 查看 bar details 您会看到链接

  • 由于 json 字符串化 dict 键导致数据丢失

    考虑下面的例子 gt gt gt import json gt gt gt d 0 potato 0 spud gt gt gt json dumps d 0 potato 0 spud gt gt gt json loads json d

  • 为什么我在 Firefox 中突然遇到“阻止加载混合活动内容”问题？

    今天早上 在将我的 Firefox 浏览器升级到最新版本 从 22 到 23 后 我的后台 网站 的一些关键功能停止工作 查看Firebug日志 报告了以下错误 Blocked loading mixed active content ht

  • 如何在单元测试中使用 JSON 发送请求

    我的 Flask 应用程序中有在请求中使用 JSON 的代码 我可以像这样获取 JSON 对象 Request request get json 这一直工作得很好 但是我正在尝试使用 Python 的 unittest 模块创建单元测试 但

  • 如何从 BindingResult 获取控制器中的错误文本？

    我有一个返回 JSON 的控制器 它采用一种形式 通过 spring 注释来验证自身 我可以得到FieldError列表来自BindingResult 但它们不包含 JSP 将在

  • 限制 Django 中的暴力登录攻击 [关闭]

    Closed 这个问题需要多问focused help closed questions 目前不接受答案 是否有普遍接受的策略来保护 Django 应用程序免受此类攻击 有很多可用的库 例如Django 斧头 Django 防御者 Djan

  • 将 RequestBody json 转换为对象 - Spring Boot

    我是 java 开发的初学者 但之前有 PHP 和 Python 等编程语言的经验 对于如何进行 Spring Boot 的开发几乎没有什么困惑 我正在开发一个rest API 它有以下请求 key value key1 value1 pl

  • 清理 MongoDB 的输入

    我正在为 MongoDB 数据库程序编写 REST 接口 并尝试实现搜索功能 我想公开整个 MongoDB 接口 我确实有两个问题 但它们是相关的 所以我将它们放在一篇文章中 使用 Python json 模块解码不受信任的 JSON 是否

  • Jackson 的 ObjectMapper 和 SQL 中的 RowMapper

    我们正在使用对象映射器 当将 ObjectMapper 与 RowMapper 一起使用时 是否应该在每个 mapRow 内部 如下所示 声明它 还是在 mapRow 外部声明为类公共成员 我认为根据本文 它应该作为公共类成员在外部 我应该

  • 如何将 JSON 文本转换为 PHP 关联数组

    我将以下 JSON 对象存储在文本文件 data txt 中 player black time 0 from 2c to 3d 我使用 php 阅读 问题 有没有简单的方法可以转换 data到 PHP 关联数组 我尝试过使用json de

  • 使用 JSON 解析问题警告

    我正在尝试从网站读取 JSON 数据 我在 Windows 10 上使用 Dev C 和 mingw 编译器 这是我尝试在静态项目中运行的教程中的 JSON 解析器 define CURL STATICLIB include

  • 登录代码示例已通过 SQL 注入被黑客攻击，尽管 mysql_real_escape_string...

    我使用 CodeIgniter 但在黑客攻击方面遇到了麻烦 是否可以对以下登录代码进行 SQL 注入 function process login username mysql real escape string this gt inpu

  • 如何解析多态 JSON 数组？

    我有一个 JSON 格式的文件 其中包含个人用户的记录 一些用户的记录中间有一个评论字段 我只想解析顶级项目 全名 贡献者姓名 电子邮件 使用 Newtonsoft JSON 解析器 但我似乎无法让它识别单个对象 当我将整个字符串解析为一个

随机推荐

热门标签