XMLHttpRequestを使ったCSRF(補足編) - 葉っぱ日記

XMLHttpRequestを使ったCSRF対策 - 葉っぱ日記を書いていて思ったけど、いまいちXHRを使ったCSRF(というかクロスオリジン通信)について理解されていないような感じだったので、ちょっと書いておきます。とりあえず日本語のリソース的には、HTTP access control | MDN が詳しくて、それを読めばだいたい事足りるんで、あとはCSRFに関連しそうな話題だけ。 Q. そもそも「クロスオリジン」って何？ スキーム、ホスト、ポートの3つの組み合わせが一致している場合を同一オリジン(same-origin)、いずれか一つでもことなる場合をクロスオリジン(cross-origin)と言います。つまり、XHRでドメインを超えて通信している場合は典型的なクロスオリジン通信となります。 Q. え？ XMLHttpReuest って他のドメインにリクエストを発行できないんじゃ い

[gologo13]

カスタムヘッダをつけると preflight request がブラウザから走る / origin ヘッダはブラウザから送信されるし、偽装できない

[kyab]

XHR2, クロスオリジンとCSRF

[bouzuya]

Origin: は偽装できない

[miya-jan]

Originヘッダは偽装できない

[Akaza]

"サーバ側がクロスオリジン通信(要するにAccess-Control-Allow-Originヘッダを返すなど)に対応していない場合でも、XHRは一方的にリクエストを発行することはできます"

[shinp]

別にCSRFを起こすのにクロスドメインでスクリプトを流す必要はないから（震え声）

[oppara]

XMLHttpRequestを使ったCSRF(補足編) - 葉っぱ日記

[datemakio]

もう無理すんなって