JSONP使用以及需要注意的安全问题

秒速五厘米 2022-05-27 00:38 212阅读 0赞

JSONP 全称是 JSON with Padding，JSONP可能会引起CSRF(Cross-site request forgery 跨站请求伪造)攻击或XSS (Cross Site Scripting 跨站脚本攻击)漏洞  
对于支持JSONP的接口，写接口时数据可能会被篡改，读接口时数据可能会被劫持  
  
CSRF：  
这个问题属于CSRF攻击范畴，一个典型的 JSON Hijacking 攻击代码：

<script>
    function wooyun(v){
        alert(v.username);
    }
    </script>
    <script src="http://js.login.360.cn/?o=sso&m=info&func=wooyun"></script>

当被攻击者在登陆 360 网站的情况下访问了该网页时，那么用户的隐私数据（如用户名，邮箱等）可能被攻击者劫持。

XSS：  
输出 JSON 时，没有严格定义好 Content-Type（Content-Type: application/json）直接导致了一个典型的 XSS 漏洞

http://127.0.0.1/getUsers.php?callback=<script>alert(/xss/)</script>

主要解决方案：  
a.Referer 严谨过滤  
b.严格定义输出的 Content-Type: application/json，浏览器不解析恶意插入的 XSS 代码（直接访问提示文件下载）  
c.部署一次性 Token  
d.限制callback函数名长度，严格过滤callback函数名  
e.过滤JSON里数据的输出  
  
  
参考文档：  
JSONP的详细使用说明：  
[https://www.cnblogs.com/chiangchou/p/jsonp.html][https_www.cnblogs.com_chiangchou_p_jsonp.html]  
JSONP的安全使用说明：  
[https://www.cnblogs.com/52php/p/5677775.html][https_www.cnblogs.com_52php_p_5677775.html]

[https_www.cnblogs.com_chiangchou_p_jsonp.html]: https://www.cnblogs.com/chiangchou/p/jsonp.html
[https_www.cnblogs.com_52php_p_5677775.html]: https://www.cnblogs.com/52php/p/5677775.html

发表评论取消回复

表情：

评论列表（有 0 条评论，212人围观）

还没有评论，来说两句吧...

相关阅读

相关 Java反射API：使用时需要注意的问题

Java的反射API（Reflection API）提供了一种在运行时检查类、方法和变量的信息。然而，在使用反射API时，也需要注意以下几个问题： 1. **安全性**：反射

绝地灬酷狼/ 2024年11月14日 19:00/ 0 赞/ 31 阅读

相关 laravel路由使用以及需要注意伪静态的配置

路由的名字比较官方,按照通俗的理解可以想成是导航。比如从古到今的饭店大部分都有跑堂的这么角色,来了顾客带领顾客去到他的包房或者餐桌这么个角色。不用想的多复杂路由在...

叁歲伎倆/ 2024年04月17日 18:48/ 0 赞/ 49 阅读

相关使用iterat移除list需要注意的问题

迭代用完后在使用之前需要重新生成，指针变了 Iterator<ProductDetailVO> channelCompositionsIterator = compositi

你的名字/ 2022年12月13日 14:27/ 0 赞/ 215 阅读

相关使用group_concat需要注意的问题

最近在看一段别人使用group\_concat之后发生的诡异的问题。具体表现就是。拼接字符串没有问题。但是用拼接的字符串作为in查询的条件。就出现了问题。平铺拼接的字符串之后，

Dear 丶/ 2022年10月09日 03:27/ 0 赞/ 209 阅读

相关 _stdcall 调用需要注意的问题

LPSTR getLastErrorBuffer(int nSize){ if (nSize >= (m_nLastErrorSize-1)){

阳光穿透心脏的1/2处/ 2022年09月21日 05:38/ 0 赞/ 246 阅读

相关使用java.lang.Integer需要注意的一个问题

自Java5开始，提供了基本数据类型的自动装箱、拆箱功能。一般情况下，我们创建一个类的对象的时候是这样创建： Class clazz = new Class(参数?);

客官°小女子只卖身不卖艺/ 2022年08月13日 13:50/ 0 赞/ 178 阅读

相关 jni开发需要注意的问题:

jni开发需要注意的问题: 背景：最近一个月一直在做移植库的工作，将c代码到share library移植到Android平台。这就涉及到Android NDK(nati

た入场券/ 2022年07月14日 03:42/ 0 赞/ 261 阅读

相关 JSONP使用以及需要注意的安全问题

JSONP 全称是 JSON with Padding，JSONP可能会引起CSRF(Cross-site request forgery 跨站请求伪造)攻击或XSS (Cro

秒速五厘米/ 2022年05月27日 00:38/ 0 赞/ 213 阅读

相关跨域jsonp的使用注意点

![watermark_type_ZmFuZ3poZW5naGVpdGk_shadow_10_text_aHR0cHM6Ly9ibG9nLmNzZG4ubmV0L3dlaXhp

梦里梦外;/ 2022年02月23日 02:46/ 0 赞/ 223 阅读

相关 Uniapp需要注意的小问题

1. 提审未发布的时候，重新提审的包应用版本名称可以保持不变，但是应用版本号必须增加。 2. 勾选使用广告标识(IDFA)\["idfa" : true\]会出现下图提示：

我就是我/ 2021年09月29日 03:18/ 0 赞/ 485 阅读