Требует ли POST плюс пользовательский Content-Type предотвращение CSRF? - PullRequest
0 голосов
/ 11 сентября 2009

Моя команда создает сайт, который использует вызовы AJAX для служб WCF для всех изменений состояния. Эти сервисы принимают запрос только в том случае, если их методом является POST, а Content-Type - application / json. Если предположить, что на нашем сайте нет уязвимостей XSS, является ли это достаточной защитой от CSRF для наших служб WCF? Возможно ли для злоумышленника создать межсайтовый POST с настраиваемым заголовком Content-Type?

[EDIT] Очевидно, что злонамеренный сторонний сайт может создать HTTP-запрос POST для моего сайта несколькими способами. Однако, насколько мне известно, ни один из этих методов не позволяет изменять заголовок Content-Type. XHR и Flash позволяют устанавливать заголовки, но имеют строгие межсайтовые ограничения.

1 Ответ

1 голос
/ 03 февраля 2011

Возможно, но почему бы не пойти дальше и проверить заголовок HTTP Referrer? Тогда ты точно будешь знать.

...