2017-10-11 12 views

答えて

1

実際には、(ブラウザ内で)実行できないものは、302応答を取得します。もう一つは、あなたが得る唯一のものです。 Fetch API specで述べたように、その挙動は、意図的にある:

リダイレクトのAPIに露出されない(その状態または内部応答の(任意の)状態がリダイレクト状態である場合に対応)。リダイレクトを公開すると、クロスサイトスクリプティング攻撃で利用できない情報が漏洩する可能性があります。

node.jsでは、いつでも好きなときにリダイレクトをやめることができます。

+0

この例では、 'HttpOnlyとマークされたCookieを含むhttps://example.org/authにフェッチすると、https://other-origin.invalid/4af95578​​1ea1c84a3b11にリダイレクトされる可能性があります。この新しいURLには秘密が含まれています。私たちがリダイレクトを公開すると、クロスサイトスクリプティング攻撃でその秘密が利用できるようになります」「私たちがリダイレクトを公開した場合、私は完全に失われました。このリダイレクトURLは実際には公開されていますが、レスポンスヘッダーからこのリダイレクトURLを見ることはできますか? – Blake

+0

しかし、ブラウザのJavaScriptコードはその応答をまったく見ることができません。すべてのリダイレクトが実行された後、チェーン内の最後の応答のみが表示されます。ブラウザは302レスポンスを見て、JavaScriptにそれを知らせることなくLocationヘッダーに従います。 – Touffy

関連する問題