JSONP可以安全使用吗？

使用JSONP时是否应该考虑任何安全问题？

更新:JSONP是执行跨域请求的常见黑客.现代浏览器现在具有跨源资源共享,而IE8 +具有类似的XDomainRequest.有关详细信息,请参阅http://enable-cors.org/.

JSONP只是一个允许您使用回调的脚本包含.但是,您应该了解跨站点请求伪造(CSRF).

只要您控制脚本和服务器,JSONP就不再是脚本包含的不安全.除非您有一个JSONP服务将敏感数据返回给登录用户.恶意站点可以向服务发送请求(希望用户登录到您的站点),并检索数据.该服务可以检查请求的引用者,但可以使用flash欺骗引用者(感谢Chris Moschini).

想象一下这个概率: - 用户登录他的网上银行账户.在用户浏览器中存储会话cookie.该站点有一个jsonp服务,其中包含有关用户及其帐户的敏感信息. - 其他网站不会知道用户已登录,但他们可以做一个疯狂的猜测并尝试访问jsonp服务.由于用户有会话cookie,浏览器将获得响应,并且没有什么能阻止网站执行ajax发布以将敏感数据保存在他们的服务器上.

更新2012年6月28日:如果您想要防范CSRF攻击,您应该阅读安全专家的博客文章:http://erlend.oftedal.no/blog/？blogid = 130

是的,您需要小心,但如果与可信服务一起使用,则相对安全.

以下是JSONP的安全问题摘要,据我所知:

从消费者的角度来看:

您必须信任提供程序不返回恶意JavaScript而不是您指定的JSONP回调中包含的预期JSON.

任何第三方JavaScript嵌入式附加组件(例如Google Analytics)也是如此.

它只与XSS攻击相似,它允许第三方在您的应用程序中执行任意JavaScript,但是,您必须首先通过首先发出请求来选择信任该第三方.

从提供商的角度来看:

您不能假设即使客户的cookie存在于请求中,消费者也是您控制的网页.根据授权URL的白名单检查Referer标头,和/或不依赖基于cookie的身份验证.

类似于CSRF /混乱的副攻击.

双方都存在安全问题.最严重的是包括JSONP在内的网站.

如果您包含来自其他域(您无法控制)的域,则该域可以随时更改脚本.他们可以使javascript在您的网页上下文中执行任何操作,您自己的javascript可以执行此操作.如果您使用JSONP,则无法解决此问题.您应该考虑使用iframe进行跨域通信,这最好由优秀的EasyDXM库完成.

如果您提供处理JSONP的Web服务,则必须防止跨站点请求伪造(CSRF).这是您的Web服务将敏感信息返回给登录用户的位置.如果用户已登录到您的站点,则任何其他站点都可以生成对JSONP服务的GET请求,并且您的域的cookie随请求一起提交 - 实质上是对登录用户进行身份验证 - 除了现在,远程域获取响应并能够读取敏感数据!

防止CSRF的最佳方法是生成随机数(难以猜测,随机生成的数字)并将其存储在会话中.在您的网页上的所有表单中输出此随机数,并将其包含在您网页上的所有JSONP请求中.在服务器上,确保请求中的nonce存在且正确(无论是GET,POST等).其他域将无法猜测此nonce,因此无法获取敏感信息,尽管cookie被送了.

最后,还有另一种安全问题:JSONP根本不支持浏览器中的用户身份验证,这种功能可以通过OAuth实现.当然,您可以让服务器获得某种访问令牌(如OAuth)并使用它.但是,如果要完全在浏览器中进行身份验证,则必须使用与iFrame的跨域通信.我认为这就是OAuth 2.0的作用.以下是您设置的方式:您网站上托管的网页可以完全访问您的服务器.有一个JavaScript库加载EasyDXM并使用它来为您的网站设置一个隐藏的iframe,并使用它进行交谈.