バックボーンとnode.jsを使用したCSRF防御

私はバックボーンとnode.jsを使用してWebサイトを作成していますが、デフォルトではCSRFに対する保護はないと考えています。 node.jsでバックボーンを使用する場合、CSRFに対抗する標準的な方法がありますか？ありがとうバックボーンとnode.jsを使用したCSRF防御

出典

2012-04-30 dan

単にXMLHTTPRequestの値を持つX-Requested-Byヘッダーがあることを確認できます。 AJAXリクエストにはドメイン間の制限があるため、そのヘッダーが存在する場合はAJAXリクエストはそうではありませんでした。悪意のあるWebサイトの隠れたフォーム

出典

2012-04-30 15:40:20 ThiefMaster

クロスドメインのajaxリクエストを妨げるブラウザに依存していませんか？ – dan

すべてのブラウザがそれらを防ぎます。 – ThiefMaster

**一般的な**ブラウザがその動作を停止するという事実に依存することはできません。クライアント側では完全に* opt-in *であり、**信頼できるものではありません。 [zombie.js]（http://zombie.labnotes.org）で悪意のあるクライアントを実装した場合はどうなりますか？ –

node.js +バックボーンに固有のことはわかりませんが、http://www.senchalabs.org/connect/middleware-csrf.html（あなたがexpressまたは何かのconnect-compatibleを使用していると仮定します）を使用できます。メタタグのように、HTMLのどこかにトークンを出力する必要があります。次に、バックボーンの同期方法を変更して、そのトークンを取得し、ヘッダー、クエリ、またはフォームを介して表現することができます。

出典

2012-05-03 01:18:19

Allow-Originヘッダーが何らかの許容値（たとえば、Allow-Origin:*）に設定されている場合、X-Requested-Byは要求偽造を防止しません。別のホストで実行されているjavascriptは依頼依頼を可能にするリクエストを作成することができます。

出典

2012-12-25 07:09:34 user1927767

バックボーンとnode.jsを使用したCSRF防御

答えて

関連する問題