AJAX 是现代 Web 应用程序中常用的一种技术，它允许前端向后端发送异步请求。然而，这也意味着攻击者可以通过伪造 AJAX 请求来进行恶意操作，因此我们需要确保 AJAX 请求的真实性。
CSRF 攻击
常见的攻击类型之一是 CSRF（跨站请求伪造）攻击。攻击者会诱骗用户在已经登录的网站上执行某些特定的恶意操作，如转账、更改密码等，而不是直接攻击网站本身。攻击者为了欺骗用户，通常会伪造一个看起来合法的请求，并将其发送给网站。
防止 CSRF 攻击
为了防止 CSRF 攻击，我们需要采取一些措施来检验 AJAX 请求的真实性。
1. Token 验证
当用户第一次进入网站时，服务器会生成一个唯一的 token，并将其存储在 cookie 中。每次发出 AJAX 请求时，token 也应该作为参数之一被发送到服务器端。服务器将检查传递的 token 是否与服务器上存储的 token 相匹配。如果不匹配，则说明请求可能是伪造的，并且服务器将拒绝该请求。
以下是一个示例代码：
-- -------------------- ---- -------
-- ---------- ----- ---- ------ -
-------- ---------- -
----- ----- - -----------------------
--------------- - -----------------
-
-- -- ---- ---- ----- -----------
-------- ------------- -
----- --- - --- -----------------
----- ----- - -------------------
---------------- --------------- ------
------------------------------------ ----------------------------------
------------------------------------ -------
------------------------- ----- ------------- ----
-
-- ------- ----- ----
------------------------ ----- ---- -- -
----- ----------- - ------------------------
----- ----------- - ------------------
-- ------------ --- ------------ -
----------------------------- --------
- ---- -
-- ----
--------------------
-
---2. Referer 验证
另一种方法是检查请求的 Referer 是否来自于同一个网站。浏览器通常会将当前页面的 URL 作为 Referer 发送给服务器。如果 Referer 不是来自于同一个网站，则说明请求可能是伪造的，并且服务器将拒绝该请求。
以下是一个示例代码：
-- -------------------- ---- -------
-- ------- ------- ----
------------------------ ----- ---- -- -
----- ------- - -------------------
-- -------------------------------------------- -
----------------------------- ----------
- ---- -
-- ----
--------------------
-
---总结
为了防止 CSRF 攻击，我们需要采取一些措施来检验 AJAX 请求的真实性。其中包括使用 Token 验证和 Referer 验证等方法。在编写 Web 应用程序时，请务必考虑这些安全措施，以确保您的应用程序不会受到攻击。
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/27813