0

Можно ли как-то подделать данные в заголовке Origin? Вопрос задан с целью защиты.

GET /ttt HTTP/1.1
Host: server.example.com
Upgrade: websocket
Connection: Upgrade
Origin: http://webru.ru
Sec-WebSocket-Key: 32f2f2f2342r23
Sec-WebSocket-Version: 13

2 ответа 2

1

Вы не можете изменять header в origin, но вы можете модифицировать запросы для header через расширения, используя WebRequest.

11
  • То есть, подделать запрос можно и он будет валидным? Commented 10 окт. 2016 в 0:25
  • @ЮрийСветлов да, будет валидным.
    – user192664
    Commented 10 окт. 2016 в 0:26
  • Получается нету способа проверить откуда пришло соединение? Хм...Странный протокол, везде пишут что защищенный. Commented 10 окт. 2016 в 0:31
  • @ЮрийСветлов Вы не меняете сам протокол, а меняете запросы
    – user192664
    Commented 10 окт. 2016 в 0:35
  • А что это значит? Что все в порядке и ничего подделать нельзя? Вы же только что написали можно подделать запросы. Или я вас не понял. Но в любом случае, Спасибо. Commented 10 окт. 2016 в 0:42
0

Вам не нужно думать, можно ли подделать Origin, вместо этого Вы должны проверить, является ли Origin подходящим или нет, и вернуть нужный Access-Control-Allow-Origin. При правильном Access-Control-Allow-Origin кроссдоменная атака невозможна.

Ваш ответ

Нажимая «Отправить ответ», вы соглашаетесь с условиями пользования и подтверждаете, что прочитали политику конфиденциальности.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.