在现代 Web 应用中，Ajax 技术被广泛应用于通过异步方式向服务器发送请求和获取响应数据。然而，由于 Ajax 接口通常是公共的，攻击者可以轻松地构造恶意请求来伪造用户身份或执行其他危险操作。为了确保 Ajax 请求的安全性，我们需要采取一些措施来防止这种攻击。
1. CSRF（跨站点请求伪造）攻击
CSRF 攻击是一种利用受害者在已经登录的情况下对某个网站发起非预期请求的攻击。攻击者通常会通过社交工程、钓鱼邮件等方式诱使受害者点击一个链接，从而触发一个恶意请求，将指令发送到受害者所在的网站上。因此，建立有效的 CSRF 防御措施对于保护 Ajax 请求至关重要。
1.1 验证请求来源
最基本的 CSRF 防御措施是验证请求来源是否合法。当服务端收到一个 Ajax 请求时，需要检查该请求是否来自合法的页面。一般情况下，我们会使用 Referer 头部来判断请求源地址是否匹配。如果不匹配，则拒绝该请求，并返回错误信息。
function validateAjaxRequest(req) {
const referer = req.headers['referer'];
if (!referer || !/^https?:\/\/(www\.)?mysite.com/.test(referer)) {
throw new Error('Invalid request source');
}
}1.2 添加 CSRF Token
除了验证请求来源之外，还可以使用 CSRF Token 来增加安全性。CSRF Token 是一个随机字符串，由服务端生成并在页面中嵌入，在每次发送 Ajax 请求时都要将该 Token 带上。当服务端接收到请求后，需要校验请求中的 Token 是否与页面中嵌入的一致。如果不一致，则拒绝该请求。
-- -------------------- ---- ------- -- -- ---- ----- ------------- ---- ----- -- - -------------------- - --------------------------------------- ------- --- -- ------ ---- ----- ------ ------------- ------------ --------- --------- ---- -- -- ---- ----- ---- ----- -------- ---- -------------- -------- - --------------- ----------------- -- ----- - --- - ---
2. XSS（跨站点脚本攻击）
XSS 攻击是一种利用网页或 Web 应用程序中存在漏洞的代码注入技术，从而达到获取用户信息、窃取用户登录凭证等目的。为了防止 XSS 攻击，我们需要对输入进行过滤和转义。
2.1 过滤输入
过滤输入是一种从用户提交的数据中删除潜在危险内容的技术。例如，我们可以使用正则表达式来限制输入的字符集和长度，或者使用第三方库（如 validator.js）来检查输入是否符合预期格式。同时，也需要注意对于富文本编辑器等场景，必须针对具体的标签和属性进行过滤。
-- -------------------- ---- -------
-- ------
-------- ---------------- -
------ ----------------------- --------------- -
------ ------- -
---- ---- ------ -------
---- ---- ------ -------
---- ---- ------ --------
---- ---- ------ ---------
---- ---- ------ ---------
-------- ------ ------
-
---
-2.2 转义输出
与过滤
来源：JavaScript中文网 ，转载请注明来源 https://www.javascriptcn.com/post/28285
