为什么XMLHttpRequest的原始策略相同

Question

为什么浏览器将相同的源策略应用于XMLHttpRequest？它对开发人员来说真的很不方便,但它似乎在实际阻止黑客方面做得很少.有解决方法,它们仍然可以包含来自外部源的javascript(JSONP背后的力量).

这似乎是网络中过时的"功能",它在很大程度上是相互关联的.

Answer 1

因为XMLHttpRequest传递用户的身份验证令牌.如果用户使用基本身份验证或某些cookie登录到example.com,然后访问了attacker.com,后一个站点可以为example.com创建XMLHttpRequest,并对该用户进行完全授权,并读取用户可以访问的任何私有页面(然后把它转发回攻击者).

因为在webapp页面中放置秘密令牌是阻止简单跨站点请求伪造攻击的方法,这意味着,攻击者可以在未经用户同意或互动的情况下采取用户在example.com上进行的任何页面操作.全局XMLHttpRequest是全局跨站点脚本.

(即使您有一个未通过身份验证的XMLHttpRequest版本,仍然存在问题.例如,攻击者可以向您的Intranet上的其他非公共计算机发出请求并读取它可以从中下载的任何文件,这些文件可能不会将意味着公共消费.<script>标签已经从这种漏洞的有限形式的遭遇,但XMLHttpRequest的的完全可读的反应会泄漏各类文件,而不是几个不幸的是制作者可以解析为JavaScript代码.)