jjzjj

javascript - JS - 如何在发件人域未知时安全地使用 window.postMessage

coder 2024-07-25 原文

我想使用在运行时创建的 Iframe 创建一个安全的 postMessage 连接(源安全)。

当前状态: 我有一个脚本，它生成一个带有特定域的 iframe(下例中的 domain.b.com)。我希望 iframe 仅从父域(包含我的脚本的页面)接收消息。由于父域在运行时是未知的，我正在考虑如下所述和说明的“握手”过程:

  1. 等待 iframe 加载。
  2. 从父域发送 postMessage 及其来源。
  3. 将允许的来源设置为第一个接收到的来源

编辑: 更多信息:

  1. 在我的服务器上，我有一个白名单域(例如 domain.a.com、any.domain.com、domain.b.com)
  2. 我的目标是与我的一些客户(例如 domain.a.com、domain.b.com)整合
  3. 集成后，我想防止黑客注入(inject)可以通过 postMessage 监听敏感信息的 iframe
  4. 我想避免检查白名单，我更愿意给一些acessToken，但不确定什么是正确的流程。

示例 1:

示例 2:

这是实现它的正确方法吗？

最佳答案

如前所述here ，您不应该期望在 postMessage 的参数中将 parent 的来源发送给您。相反:

If you do expect to receive messages from other sites, always verify the sender's identity using the origin and possibly source properties. Any window (including, for example, http://evil.example.com) can send a message to any other window, and you have no guarantees that an unknown sender will not send malicious messages. Having verified identity, however, you still should always verify the syntax of the received message. Otherwise, a security hole in the site you trusted to send only trusted messages could then open a cross-site scripting hole in your site.

一旦您的 iframe 中有了主框架的 URI，您就可以通过对服务器的简单 AJAX 调用来验证其授权。在我看来，服务器调用是不可避免的，您将以某种方式进行此类调用。

还有其他方法可以知道谁包含了您的 iframe，但它们不依赖于 postMessage。例如，如果您使用的是 PHP，您可以检查 $_SERVER['HTTP_REFERER'] 以查看谁在请求您的 iframe，甚至在它被发送到浏览器之前。然而有办法referrer spoofing

如果您的应用程序需要可靠的防弹解决方案，那么服务器到服务器通信就是您的方式。在这种情况下，您的每个客户端都有一个用户名和密码，并且要为主页提供服务的网络服务器应该向提供 iframe 的网络服务器请求一次性传递 token (这是服务器到服务器的通信).然后使用 iframe 的 URL 中的 token 发送回生成它的服务器。以下是此场景的分步说明:

  1. 最终用户请求 URL http://customer.com/main.php。

  2. 当 main.php 正在执行和填充响应时，它也 连接到 http://you_website.com/generate_token.php?username=cutomer1&password=123 并获得一次性通行证 token1。

  3. 响应返回到浏览器，其中包含 iframe，URL http://your_website.com/iframe.php?token=token1。

  4. 在 iframe.php 中，您验证 token1 以查看它是否有效，并且 ，与此同时，您无需实际询问即可对请求者进行身份验证 他的用户名和/或密码(因为你知道你有谁 生成 token )。

此类 token 通常会在使用后被删除(一次通过)，并且它们通常还带有过期数据。但这取决于您和您的应用程序。

关于javascript - JS - 如何在发件人域未知时安全地使用 window.postMessage，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/17403955/

发件人何在codestrongiframejavascriptsecuritywebcross-domainpostmessage

有关javascript - JS - 如何在发件人域未知时安全地使用 window.postMessage的更多相关文章

  1. ruby - 如何在 Ruby 中顺序创建 PI - 2

    出于纯粹的兴趣，我很好奇如何按顺序创建PI，而不是在过程结果之后生成数字，而是让数字在过程本身生成时显示。如果是这种情况，那么数字可以自行产生，我可以对以前看到的数字实现垃圾收集，从而创建一个无限系列。结果只是在Pi系列之后每秒生成一个数字。这是我通过互联网筛选的结果:这是流行的计算机友好算法，类机器算法:defarccot(x,unity)xpow=unity/xn=1sign=1sum=0loopdoterm=xpow/nbreakifterm==0sum+=sign*(xpow/n)xpow/=x*xn+=2sign=-signendsumenddefcalc_pi(digits

  2. ruby - 在 Ruby 程序执行时阻止 Windows 7 PC 进入休眠状态 - 2

    我需要在客户计算机上运行Ruby应用程序。通常需要几天才能完成(复制大备份文件)。问题是如果启用sleep，它会中断应用程序。否则，计算机将持续运行数周，直到我下次访问为止。有什么方法可以防止执行期间休眠并让Windows在执行后休眠吗？欢迎任何疯狂的想法;-) 最佳答案 Here建议使用SetThreadExecutionStateWinAPI函数，使应用程序能够通知系统它正在使用中，从而防止系统在应用程序运行时进入休眠状态或关闭显示。像这样的东西:require'Win32API'ES_AWAYMODE_REQUIRED=0x0

  3. ruby - 如何在 buildr 项目中使用 Ruby 代码？ - 2

    如何在buildr项目中使用Ruby？我在很多不同的项目中使用过Ruby、JRuby、Java和Clojure。我目前正在使用我的标准Ruby开发一个模拟应用程序，我想尝试使用Clojure后端(我确实喜欢功能代码)以及JRubygui和测试套件。我还可以看到在未来的不同项目中使用Scala作为后端。我想我要为我的项目尝试一下buildr(http://buildr.apache.org/)，但我注意到buildr似乎没有设置为在项目中使用JRuby代码本身!这看起来有点傻，因为该工具旨在统一通用的JVM语言并且是在ruby中构建的。除了将输出的jar包含在一个独特的、仅限ruby​​

  4. ruby - 什么是填充的 Base64 编码字符串以及如何在 ruby​​ 中生成它们？ - 2

    我正在使用的第三方API的文档状态:"[O]urAPIonlyacceptspaddedBase64encodedstrings."什么是“填充的Base64编码字符串”以及如何在Ruby中生成它们。下面的代码是我第一次尝试创建转换为Base64的JSON格式数据。xa=Base64.encode64(a.to_json) 最佳答案 他们说的padding其实就是Base64本身的一部分。它是末尾的“=”和“==”。Base64将3个字节的数据包编码为4个编码字符。所以如果你的输入数据有长度n和n%3=1=>"=="末尾用于填充n%

  5. ruby-on-rails - 如何在 ruby​​ 中使用两个参数异步运行 exe？ - 2

    exe应该在我打开页面时运行。异步进程需要运行。有什么方法可以在ruby​​中使用两个参数异步运行exe吗？我已经尝试过ruby​​命令-system()、exec()但它正在等待过程完成。我需要用参数启动exe，无需等待进程完成是否有任何ruby​​gems会支持我的问题？ 最佳答案 您可以使用Process.spawn和Process.wait2:pid=Process.spawn'your.exe','--option'#Later...pid,status=Process.wait2pid您的程序将作为解释器的子进程执行。除

  6. ruby - 如何在续集中重新加载表模式？ - 2

    鉴于我有以下迁移:Sequel.migrationdoupdoalter_table:usersdoadd_column:is_admin,:default=>falseend#SequelrunsaDESCRIBEtablestatement,whenthemodelisloaded.#Atthispoint,itdoesnotknowthatusershaveais_adminflag.#Soitfails.@user=User.find(:email=>"admin@fancy-startup.example")@user.is_admin=true@user.save!ende

  7. ruby - 如何在 Ruby 中拆分参数字符串 Bash 样式？ - 2

    我正在为一个项目制作一个简单的shell，我希望像在Bash中一样解析参数字符串。foobar"helloworld"fooz应该变成:["foo","bar","helloworld","fooz"]等等。到目前为止，我一直在使用CSV::parse_line，将列分隔符设置为""和.compact输出。问题是我现在必须选择是要支持单引号还是双引号。CSV不支持超过一个分隔符。Python有一个名为shlex的模块:>>>shlex.split("Test'helloworld'foo")['Test','helloworld','foo']>>>shlex.split('Test"

  8. ruby - 如何在 Lion 上安装 Xcode 4.6，需要用 RVM 升级 ruby - 2

    我实际上是在尝试使用RVM在我的OSX10.7.5上更新ruby，并在输入以下命令后:rvminstallruby我得到了以下回复:Searchingforbinaryrubies,thismighttakesometime.Checkingrequirementsforosx.Installingrequirementsforosx.Updatingsystem.......Errorrunning'requirements_osx_brew_update_systemruby-2.0.0-p247',pleaseread/Users/username/.rvm/log/138121

  9. ruby-on-rails - 如何在 ruby​​ 交互式 shell 中有多行？ - 2

    这可能是个愚蠢的问题。但是，我是一个新手......你怎么能在交互式ruby​​shell中有多行代码？好像你只能有一条长线。按回车键运行代码。无论如何我可以在不运行代码的情况下跳到下一行吗？再次抱歉，如果这是一个愚蠢的问题。谢谢。 最佳答案 这是一个例子:2.1.2:053>a=1=>12.1.2:054>b=2=>22.1.2:055>a+b=>32.1.2:056>ifa>b#Thecode‘if..."startsthedefinitionoftheconditionalstatement.2.1.2:057?>puts"f

  10. ruby-on-rails - 如何在我的 Rails 应用程序 View 中打印 ruby​​ 变量的内容？ - 2

    我是一个Rails初学者，但我想从我的RailsView(html.haml文件)中查看Ruby变量的内容。我试图在ruby​​中打印出变量(认为它会在终端中出现)，但没有得到任何结果。有什么建议吗？我知道Rails调试器，但更喜欢使用inspect来打印我的变量。 最佳答案 您可以在View中使用puts方法将信息输出到服务器控制台。您应该能够在View中的任何位置使用Haml执行以下操作:-puts@my_variable.inspect 关于ruby-on-rails-如何在我的R

随机推荐