X-CSRF-Token üstbilgisini global olarak tüm XMLHttpRequest() öğelerine ekleme;

Question

ile XMLHttpRequest numaralı ham ürününü üreten bir üçüncü taraf kitaplığı kullanıyorum.

Bu, CSRF korumamı atlar ve raylarım sunucum tarafından vurulur.

Global olarak, ön tanımlı bir CSRF belirteci ($('meta[name=csrf-token]').attr('content')) tüm örnekleme zamanında XMLHttpRequest TÜM örneklerine ekleme yolu var mı?

Açmak open() metodu ajax sarın ve sonra hemen başlığını ayarlayabilirsiniz

Answer 1

Ben send yöntemine intercept calls tavsiye ederim Başlığı derleme zamanında eklemez, ancak istek gönderilmeden hemen önce. Siz çağrılarını da new XMLHttpRequest() arayarak engelleyebilirsiniz, ancak open çağrılıncaya kadar başlık eklenmesini beklemeniz gerekmeyecektir.

Ayrıca, isteğin hedef URL'sine bir test eklemek isteyebilirsiniz, böylece sadece kendi başlığınızı aradığınızda başlığı eklersiniz. Bunu yapmamak, başka bir yerde belirteci sızdırıyor olabilir veya hatta bu üstbilgiye izin verilmeyen alanlar arası CORS çağrılarını bile kırabilir.

Answer 2

:

(function() { 
    var send = XMLHttpRequest.prototype.send, 
     token = $('meta[name=csrf-token]').attr('content'); 
    XMLHttpRequest.prototype.send = function(data) { 
     this.setRequestHeader('X-CSRF-Token', token); 
     return send.apply(this, arguments); 
    }; 
}()); 

Bu won:

(function() { 
    var op = XMLHttpRequest.prototype.open; 
    XMLHttpRequest.prototype.open = function() { 
     var resp = op.apply(this, arguments); 
     this.setRequestHeader('X-CSRF-Token', $('meta[name=csrf-token]').attr('content')); 
     return resp; 
    }; 
}()); 

Answer 3

Bir jQuery bağımsız bir çözüm gerekirse kullanabilirsiniz:

(function() { 
     var send = XMLHttpRequest.prototype.send, 
      token = document.getElementsByTagName('meta')['csrf-token'].content; 
     XMLHttpRequest.prototype.send = function(data) { 
      this.setRequestHeader('X-CSRF-Token', token); 
      return send.apply(this, arguments); 
     }; 
    }());