同一生成元ポリシーとCSRFセキュリティポリシーに関する知識ポイントの説明

私はしばらく Web 開発をしていましたが、同一生成元ポリシーと CSRF セキュリティ ポリシーについて深く理解したことがなかったので、それを理解するために簡単な実験をしてみました。実験の手順は以下の通りですので、皆さんにも共有してください。

実験の目的: 同一オリジンポリシーとcsrfセキュリティポリシーの関係と違いを検証するため

実験計画: 1. LinuxはdjangoフレームワークのPythonサーバーを構築します(a)。簡単な js サーバーを構築します ( b) の 2.B のホームページは次のように作成されます。 (1) フォーム A に送信します。 (2) Postget メソッドを使用します。 (2) Ajax メソッド (postget) からデータを要求します。 CSRF セキュリティ ポリシーを有効にしない場合、b のホームページを開きます。b のページは通常、postget を通じて a にフォームを送信し、返信ページを取得できますが、ajax の getpost メソッドを通じて a のデータを要求することはできません。 aのログを観察すると、aではbのリクエストは受信できるが、bのリクエストに添付されたデータは正常にロードできず、bのajax(getpost)リクエストはaのレスポンスを取得できていることがわかります。 b. ブラウザに同一生成元ポリシーの警告が表示されます。
2. a が CSRF セキュリティ ポリシーを開くと、b のホームページが開きます。b のページは通常、get メソッドを通じて a にフォームを送信し、返信ページを取得できますが、post メソッドを通じて送信することはできません。 b のページは ajax 経由で送信できます。 getpost メソッドは a のデータを要求できません。
結論: 1. 同一オリジンポリシー: js 言語はセキュリティを考慮して設計されており、同一オリジンのアクセスのみを許可します。オリジナル以外のアクセスでも、対応するサーバーにリクエストを送信できますが、ブラウザーのリクエストに添付されたデータはすべて失われ、サーバーはリクエストの応答を返す可能性があります。ただし、サーバーが発行した応答をブラウザーが解析する応答フェーズ中に、同一生成元ポリシーの警告が表示されます。 (jsベースのajax技術の説明)

2. csrfセキュリティポリシー: サーバーを構築する際のセキュリティの考慮事項は、一般の開発者が関連する設計を行う必要があります(通常、フレームワークにはcsrfセキュリティポリシーの設計が付属します)。 csrf ポリシーのプロセスは次のとおりです。サーバー ページをリクエストすると、サーバーの応答によってブラウザに Cookie が設定されます。投稿フォームがサーバーに送信されると、サーバーによって設定された Cookie がブラウザのリクエストに追加され、一緒に送信されます。リクエストを受信すると、添付された Cookie が正しいかどうかが検証されます (各ユーザーはサーバーとの通信接続に対して一意の Cookie を 1 つだけ持ちます。接続が中断されると、サーバーは次回ブラウザに新しい Cookie を設定します)接続が確立され、Cookie の検証が成功した場合にのみ正しい応答が発行されます。検証が失敗した場合は、「403」エラー コードが発行されます。

rreee
rreee

  1 # --------------Django服务器部分代码--------------  2 # -*- coding:utf-8 -*-  3 from django.shortcuts import render  4 from django.http import HttpResponse, HttpResponseRedirect, JsonResponse  5   6 # Create your views here.  7   8   9 def index(request): 10  11     context = {'contents': 'hello world'} 12     # return HttpResponse("ok") 13     response= render(request, 'booktest/index.html', context) 14     return response 15  16  17 def args(request, id1, id2): 18  19     string = '%s--%s' % (id1, id2) 20     return HttpResponse(string) 21  22  23 def get1(request): 24  25     mode = request.encoding 26     dict = request.GET 27     a = dict.get('a') 28     b = dict.get('b') 29     c = dict.get('c') 30     string = 'method:%s--%s--%s--%s' % (mode, a, b, c) 31     return HttpResponse(string) 32  33  34 def get2(request): 35  36     dict = request.GET 37     a = dict.getlist('a') 38     b = dict.get('b') 39     c = dict.get('c') 40     d = dict.get('d', 'have no') 41     string = '%s--%s--%s--%s' % (a, b, c, d) 42     return HttpResponse(string) 43  44  45 def post(requst): 46  47     str_data = '---%s---%s' % (requst.method, requst.POST.get('uname')) 48  49     return HttpResponse(str_data) 50  51  52 def get3(request): 53  54     dict = request.GET 55     a = dict.get('a') 56     b = dict.get('b') 57     c = dict.get('c') 58     context = {'1': a, '2': b, '3': c} 59     # return HttpResponse("ok") 60     return HttpResponse(context) 61     # return render(request, 'booktest/get1.html', context) 62  63  64 def get4(request): 65  66     return HttpResponseRedirect('/admin/') 67  68  69 def ajax(request): 70  71     # return HttpResponse('ok') 72     return render(request, 'booktest/ajax.html/') 73  74  75 def json(request): 76  77     data1 = request.POST.get('csrfmiddlewaretoken') 78     data2 = request.POST.get('data') 79     print('------------%s------------%s---' % (data1, data2)) 80     a = {'h1': 'hello', 'h2': 'world', 'method': request.method, 'csrf': data1, 'data': data2} 81  82     return JsonResponse(a) 83  84  85 def cookie_set(request): 86     print('123') 87     cookie_value = 'hello' 88  89     response = HttpResponse("<h1 id="设置Cookie-请查看响应报文头">设置Cookie，请查看响应报文头</h1>") 90     # response = HttpResponse("hello") 91 # Cookie中设置汉字键值对失败 92     response.set_cookie('h1', cookie_value) 93     # return HttpResponse('ok') 94     return response 95  96  97 def cookie_get(request): 98  99     response = HttpResponse('<h1 id="读取Cookie-数据如下-br-cookies-request-COOKIES-if-cookies-get-h-response-write-h-cookies-h">读取Cookie，数据如下：<br>')100     cookies = request.COOKIES101     if cookies.get('h1'):102         response.write('<h1>'+cookies['h1']+'</h1>')103 104     return response</h1>

 1  2  3 nbsp;html> 4  5  6     <meta> 7     <title>index</title> 8  9 10 {#    <input>#}11     <a>返回主页</a>12 13     <hr>14     <h1 id="参数">参数</h1>15     <a>get一键传一值</a>16     <br>17     <a>get一键传多值</a>18     <br><br>19     

20 21     {% csrf_token %}22 23     姓名：
24     密码：
25     性别：男26     女
27     爱好：胸口碎大石28     脚踩电灯炮29     口吐火
30     31     

32 33     

---

34     

GET属性

35     一键传一值36     
37     一键传多值38 39     

---

40     

JsonResponse

41     ajax42 43     

---

44     

Cookie

45     设置Cookie46     
47     获取Cookie48 49 

以上が同一生成元ポリシーとCSRFセキュリティポリシーに関する知識ポイントの説明の詳細内容です。詳細については、PHP 中国語 Web サイトの他の関連記事を参照してください。