我有一個www.example.com從 加載 iframe 的網(wǎng)站www.another.com。正在加載的頁面包含 HTML 和 JS，它們會觸發(fā)對 self ( ) 的 AJAX 調(diào)用www.another.com。這兩個站點都支持 HTTPS。iframe 加載得很好，腳本正在執(zhí)行，但是，當我單擊“提交”（這是 iframe 的一部分）時，www.another.com由于 CSRF 令牌無效，我的請求被拒絕。iframe 中的表單確實包含一個token字段，該字段具有一個值（一些哈希值）。當我直接訪問時，ajax 調(diào)用工作正常www.another.com。據(jù)我所知，到目前為止，當 ajax 調(diào)用到達服務器時，它沒有啟動會話，因此它無法找到匹配的令牌。我使用Symfony 4.4withNelmioCorsBundle來確保正確的 CORS。配置如下所示：nelmio_cors: defaults: allow_credentials: false origin_regex: false allow_origin: ['https://www.example.com','https://www.another.com'] allow_methods: ['GET', 'OPTIONS', 'POST'] allow_headers: ['Origin','Referer'] expose_headers: [] max_age: 3600失敗的 ajax 請求有以下標頭： 有什么辦法可以解決這個問題嗎？
1 回答
九州編程
TA貢獻1785條經(jīng)驗 獲得超4個贊
找到了解決方案。
該域www.another.com正在發(fā)送Cookie帶有SameSite=lax. 這意味著除非啟動頂級導航，否則不會包含這些 cookie。對于iframeAJAX 調(diào)用來說，這并不能解決問題。
解決此問題的方法是SameSite禁用framework.yml.
session: cookie_samesite: null <--- THIS
我很清楚潛在的安全后果，但是：
AJAX
POST端點受 CSRF 令牌保護，這兩個網(wǎng)站都是 HTTPS
……所以我想我會沒事的。我是嗎？
我真的很期待聽到是否存在比我上面概述的問題更嚴重的問題:)
我想指出的另一件事是我的 CORS 配置并非完全無關(guān)緊要。我的所有請求都是“簡單”的，因此不會觸發(fā)預檢請求。
- 1 回答
- 0 關(guān)注
- 125 瀏覽
添加回答
舉報
0/150
提交
取消