当前位置:首页 > 系统it > 网络资讯
网络资讯

CORS 跨域工作机制与安全防范

时间:2023-12-21 10:49:39   作者:Admin辉辉   来源:51CTO网络   阅读:517   评论:0
内容摘要:随着前后端分离架构的逐渐普及,CORS跨域技术被广泛应用在Web应用中,以便不同域之间资源的互相访问。一、CORS工作机制详解CORS的全称是跨域资源共享(Cross-OriginResourceSharing),允许浏览器向跨域服务器发起XMLHttpRequest请求。主要机制分为两种调用流程:1、简单请求浏览器直...

随着前后端分离架构的逐渐普及,CORS跨域技术被广泛应用在Web应用中,以便不同域之间资源的互相访问。

CORS_跨域工作机制与安全防范 图1

一、CORS工作机制详解

CORS的全称是跨域资源共享(Cross-Origin Resource Sharing),允许浏览器向跨域服务器发起XMLHttpRequest请求。主要机制分为两种调用流程:

1、简单请求

浏览器直接发出实际请求,无需预检。简单请求满足以下条件:

  1. 使用下列方法之一:GET、HEAD、POST
  2. 只能设置以下头部:Accept、Accept-Language、Content-Language、Content-Type(只限于application/x-www-form-urlencoded、multipart/form-data、text/plain三种类型)

如果满足这两个条件,浏览器会自动在请求头中添加 Origin 字段,发起简单请求,服务器根据 Origin 划定的来源域,决定是否给予响应。

2、预检请求

如果不满足简单请求的条件,浏览器会自动发起预检请求(OPTIONS 请求),询问服务器请求是否被允许。如:

  1. 浏览器发送 OPTIONS 请求,请求头中包含 Origin、Access-Control-Request-Method 和 Access-Control-Request-Headers 等信息
  2. 服务器响应 OPTIONS 请求,响应头中包含 Access-Control-Allow-Origin、Access-Control-Allow-Methods 和 Access-Control-Allow-Headers 等信息
  3. 浏览器对响应头信息进行确认和缓存
  4. 浏览器发送实际请求。请求头中自动添加 Origin 字段。
  5. 服务器进行 Access-Control-Allow-Origin 校验,并响应实际请求

CORS_跨域工作机制与安全防范 图2

二、CORS安全风险详解

CORS 的机制有一定复杂性,也会有藏着一些安全风险。主要包括:

1、CORS误配置风险

如果服务器端CORS配置错误,可能会使得本不应该访问的恶意网站得到数据访问权限。这属于典型的CORS误配置问题。

2、CSRF跨站请求伪造风险

攻击者可利用CORS实现CSRF攻击。例如恶意网站利用CORS请求接口获取用户数据或执行增删改操作。这属于利用CORS实现CSRF攻击的风险。

3、信息泄露风险

攻击者可以利用CORS的一些特性获取敏感信息。例如根据CORS头部判断网站架构,根据错误信息判断后台技术栈等。

4、报文劫持风险

攻击者可在客户端通过JS劫持CORS报文,改变请求参数、添加非法头部甚至修改响应内容。这属于CORS请求被劫持的风险。

5、浏览器缓存被污染风险

恶意网站可向有缓存的CORS接口大量发送预检请求,导致浏览器缓存被其预检选项所污染,进而影响其他正常CORS请求。

三、防范策略

防范CORS风险的关键在于从源头加强接口访问控制,严格限制允许跨域请求的来源,具体策略包括:

  • 严格限制允许跨域请求的源(Origin)。生产环境一般只允许指定的域名请求,不开放。
  • 对安全性要求高的接口,禁用CORS跨域访问。敏感接口不允许异域调用。
  • 验证Origin请求头防止它被欺骗。攻击者可能伪造这个字段。
  • 使用CSRF防护机制,比如校验HTTP Referer 或在请求中设置token进行校验。
  • 接口响应中避免返回敏感信息。对错误信息进行遮蔽处理。
  • 在服务端校验CORS的请求头,防止其被客户端篡改。
  • 对跨域预检请求的缓存时长、次数/频率进行限制。
  • 使用CSP防护CORS跨域请求遭到劫持的风险。
  • 启用服务器端的CORS中间件,规范CORS的实现。

CORS作为一个具有明确边界访问控制的跨域解决方案,应严格限制在业务必需的场景中使用。在启用CORS的基础上,采取必要的安全防护措施,以降低相关风险。

责任编辑:华轩来源: 今日头条
#免责声明#

【声明】:辉辉网络登载此文出于传递更多信息之目的,并不代表本站赞同其观点和对其真实性负责,仅适于网络安全技术爱好者学习研究使用,学习中请遵循国家相关法律法规。如有问题请联系我们,联系邮箱1665545192@qq.com,我们会在最短的时间内进行处理。

【声明】 本站提供的一切软件、教程和内容文章信息仅限用于学习和研究目的;不得将上述内容用于商业或者非法用途,否则,一切后果请用户自负。本站信息来自网络收集整理,版权争议与本站无关。您必须在下载后的24个小时之内,从您的电脑或手机中彻底删除上述内容。如果您喜欢该程序和内容,请支持正版,购买注册,得到更好的正版服务。我们非常重视版权问题,如有侵权请邮件与我们联系处理。敬请谅解!


网站不盈利不挣钱,若有侵犯你的利益请联系删除,给你带来的不便,我们非常重视版权问题  邮箱:3653767872@qq.com




标签:工作  安全  机制  防范  
相关评论
免责声明! - 版权声明
Admin邮箱:3653767872@qq.com
  粤ICP备2023090474号