Non capisco come JSONP sia QUALSIASI diverso da AJAX

Question

1. Non vedo come la funzione di callback in JSONP sia diversa dalla funzione di callback di successo in AJAX.

2. Dato # 1, non vedo come sia fondamentalmente più sicuro.

3. Quindi, l'unica differenza è un vincolo di dominio stesso artificiale con AJAX?

4. Perché AJAX non può consentire solo richieste tra domini diversi; se questo può causare un buco di sicurezza, l'attacco non sarebbe solo XSS una richiesta JSONP?

Confuso, Max

Answer 1

una chiamata AJAX è una richiesta HTTP reale dal vostro cliente direttamente a un server. Le chiamate Ajax possono essere sincrone (il blocco fino al completamento) o asincrone. A causa delle protezioni di sicurezza di origine originaria, le chiamate ajax possono essere effettuate solo allo stesso server da cui proviene la pagina Web, a meno che il server di destinazione non consenta esplicitamente una richiesta di origine incrociata utilizzando CORS.

Le chiamate JSONP sono un'interessante modifica con il tag <script> che consente la comunicazione tra origini. In una chiamata JSONP, il client crea un tag script e inserisce un URL su di esso con un parametro di query callback=xxxx. Quella richiesta di script (tramite l'inserimento del tag script) viene inviata dal browser al server esterno. Il browser pensa semplicemente che stia richiedendo del codice javascript. Il server crea quindi un javascript speciale per gli scopi di questa chiamata e in quel javascript che verrà eseguito dal browser quando viene restituito, il server inserisce una chiamata di funzione alla funzione denominata nel parametro di query callback=xxxx. Definendo le variabili passando i dati a quella funzione, il server può comunicare i dati al client. Per JSONP, sia il client che il server devono collaborare su come funziona la chiamata JSONP e come vengono definiti i dati. Un client non può effettuare una chiamata JSONP a un server che non supporta esplicitamente JSONP poiché il tipo esatto giusto di risposta JSONP deve essere compilato dal server o non funzionerà.

Quindi, i due metodi di comunicazione funzionano in modo completamente diverso. Solo le chiamate Ajax possono essere sincrone. Per la natura dell'inserimento del tag <script>, le chiamate JSONP sono sempre asincrone.

In una chiamata Ajax, la risposta ritorna in un gestore di eventi Ajax.

In una chiamata JSONP, la risposta arriva quando il Javascript restituito chiama una funzione dell'utente.

In alcuni modi, JSONP è un buco di sicurezza che aggira il meccanismo di sicurezza di origine incrociata. Ma puoi chiamare solo server che scelgono esplicitamente di supportare un meccanismo simile a JSONP, quindi se un server non vuole che tu possa chiamarlo cross-origin, può impedirlo non supportando JSONP. Non è possibile effettuare chiamate ajax regolari a questi altri server.

I produttori di browser non possono davvero chiudere questa scappatoia perché se avessero fatto miliardi di pagine web avrebbero interrotto il fatto che già usassero JSONP o caricassero script da altri domini. Ad esempio, ogni pagina sul Web che utilizza jQuery al di fuori dei CDN di Google o Microsoft si interrompe perché al browser non è consentito scaricare javascript dai domini di origine incrociata.

JSONP è stato in gran parte inventato come work-around per essere in grado di effettuare richieste di origine incrociata.Tuttavia, poiché JSONP richiede il supporto esplicito del server per funzionare, non si è trattato di un problema di sicurezza in quanto una chiamata JSONP può essere effettuata solo su un server che ha deciso esplicitamente di consentire quel tipo di chiamata di origine incrociata. JSONP è usato molto meno ora di quanto non lo fosse perché CORS è stato inventato come un modo più elegante per controllarlo/permetterlo. CORS è l'acronimo di Cross Origin Resource Sharing e fornisce a un server di destinazione un mezzo per dire esattamente a un browser web quale tipo di richieste di origine incrociata sono consentite e persino per dirgli quali domini di pagine Web sono autorizzati a fare tali richieste. È disponibile un controllo molto più preciso di JSONP e tutti i browser moderni ora supportano CORS.

Ecco un esempio di come una chiamata tra origini causa problemi. Se è possibile caricare qualsiasi pagina Web arbitraria da qualsiasi altra pagina Web o effettuare qualsiasi chiamata arbitraria ajax, quindi immagina di aver già effettuato l'accesso all'interfaccia webmail su Yahoo in un'altra finestra del browser. Ciò significa che i tuoi cookie sono impostati per consentire alle richieste del tuo browser di recuperare i dati da Yahoo. Se il javascript in qualche altra pagina web era autorizzato a fare una richiesta webmail a Yahoo (che avrebbe automaticamente allegato i cookie), potrebbe quindi recuperare tutti i dati webmail e inviarli al proprio sito. Un sito Web potrebbe rimuovere tutti i dati registrati da qualsiasi altro sito web. Tutta la sicurezza Web sarebbe stata interrotta.

Ma, il modo in cui lo abbiamo oggi, finché Yahoo non supporta un'interfaccia JSONP che utilizza quegli stessi cookie web, è al sicuro da richieste JSONP non autorizzate.

Qui ci sono alcune altre buone writeups sui pericoli di cross-origine ajax e perché deve essere impedito:

Why the cross-domain Ajax is a security concern?

Why Cross-Domain AJAX call is not allowed?

Why are cross-domain AJAX requests labelled as a "security risk"?

Ultima domanda

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.

 Problemi correlati

• 1.
• 2.
• 3.
• 4.
• 5.
• 6.
• 7.
• 8.
• 9.
• 10.