डेटा पोस्ट करने के लिए Backbone.js का उपयोग करते समय सीएसआरएफ के खिलाफ कैसे सुरक्षा करें?

Question

Backbone.js हुड के नीचे सर्वर पर डेटा पोस्ट करने को संभालता है, इसलिए पेलोड में सीएसआरएफ टोकन डालने का कोई आसान तरीका नहीं है। मैं इस स्थिति में सीएसआरएफ के खिलाफ अपनी साइट की रक्षा कैसे कर सकता हूं?

इस SO उत्तर में: https://stackoverflow.com/a/10386412/954376, सुझाव x-Requested-by header को XMLHTTPRequest होने के लिए सत्यापित करना है। क्या यह सभी सीएसआरएफ प्रयासों को अवरुद्ध करने के लिए पर्याप्त है?

Django दस्तावेज़ों में, सुझाव है कि प्रत्येक AJAX अनुरोध में किसी अन्य कस्टम शीर्षलेख में सीएसआरएफ टोकन जोड़ना है: https://docs.djangoproject.com/en/1.5/ref/contrib/csrf/#ajax। क्या यह आवश्यक है?

मैं समझता हूं कि हमले छिपे हुए फॉर्म का उपयोग करता है, मैं केवल यह सुनिश्चित करके सुरक्षित हूं कि अनुरोध XMLHTTPRequest से है। लेकिन क्या कोई सीएसआरएफ हमला चाल है जो हेडर को फोर्ज कर सकती है?

Answer 1

आप सभी अनुरोधों का टोकन जोड़ने के लिए एक prefilter उपयोग कर सकते हैं:

$.ajaxPrefilter(function(opts) { 
    if (opts.data) { 
     opts.data += "&"; 
    } 
    opts.data += "csrfToken=" + token; 
}); 

आप अतिरिक्त तर्क जोड़ने के लिए है, तो आप हमेशा टोकन न भेजें आवश्यकता हो सकती है।

Answer 2

सभी jQuery.ajax के लिए एक वैश्विक CSRF-टोकन स्थापना कॉल:

var oldSync = Backbone.sync; 
Backbone.sync = function(method, model, options){ 
    options.beforeSend = function(xhr){ 
    xhr.setRequestHeader('X-CSRFToken', CSRF_TOKEN); 
    }; 
    return oldSync(method, model, options); 
}; 

संपादित करें:

$(function(){ 
    $.ajaxSetup({ 
    headers: {'X-CSRFToken': CSRF_TOKEN} 
    }); 
}) 

Backbone.sync अधिभावी द्वारा सिर्फ बैकबोन के लिए टोकन स्थापना फिक्स्ड लिखने में कोई त्रुटि कदम अंक टिप्पणियों में

Answer 3

मुझे पता है कि यह एक छोटा सा सवाल है, लेकिन मैं इसके लिए एएमडी मॉड्यूल के जिथब रेपो को एक लिंक छोड़ दूंगा:

https://github.com/kuc2477/backbone.csrf.git (अस्वीकरण: मैं मॉड्यूल के लेखक हूँ)

Answer 4

यहाँ एक अद्यतन संस्करण, Django 1.7 में आधारित

oldSync = Backbone.sync 
Backbone.sync = (method, model, options) -> 

    csrfSafeMethod = (method) -> 
     # these HTTP methods do not require CSRF protection 
     /^(GET|HEAD|OPTIONS|TRACE)$/.test method 

    options.beforeSend = (xhr, settings) -> 
     if !csrfSafeMethod(settings.type) and !@crossDomain 
      xhr.setRequestHeader 'X-CSRFToken', $.cookie('csrftoken') 
     return 
    oldSync method, model, options