web安全一,同源策略与跨域

之所以要将同源策略与跨域写在一起,是因为存在浏览器的同源策略,才会存在跨域问题

何为同源策略

同源策略是浏览器实现的一种安全策略,它限制了不同源之间的文档和脚本交互的权限。只有同一个源的脚本才会具有操作dom、读写cookie、session 、ajax等敏感操作的权限。可以说同源策略在web安全中扮演着及其重要的角色。所谓同源简单来说即是两个页面必须具有相同的协议、端口还有域名。

http://www.site.com/index.html为例,举个小栗子:

url 是否跨域 原因
http://www.site.com/other/ind...
http://child.site.com/index.html origin 不一样(www与child)
http://www.site.com:8090/index.html 端口 不一样(80与8090)
https://www.site.com/index.html 协议 不一样(http与https)

IE是个例外

不得不调侃一下,在兼容性方面IE似乎永远都难以跟上别的浏览器发展的步伐,永远都是一个例外。

  • 授信范围(Trust Zones):两个相互之间高度互信的域名,如公司域名(corporate domains),不遵守同源策略的限制。
  • 端口:IE未将端口号加入到同源策略的组成部分之中,因此 http://www.size.com:81/index.html 和http://www.size.com:8090/index.html 属于同源并且不受任何限制。

虽然同源策略限制了跨域文档脚本的操作能力,但明确允许部分资源性的标签是可以加载跨域资源的,如<img>,<script>部分具有跨域能力的标签如下,来源于MDN

  • <script src="..."></script> 标签嵌入跨域脚本。语法错误信息只能在同源脚本中捕捉到。
  • <link rel="stylesheet" href="...">标签嵌入CSS。由于CSS的松散的语法规则,CSS的跨域需要一个设置正确的Content-Type消息头。
  • <img>嵌入图片。
  • <video> 和 <audio>嵌入多媒体资源。
  • <object>, <embed> 和 <applet>的插件。
  • @font-face引入的字体。
  • <frame> 和 <iframe>载入的任何资源。站点可以使用X-Frame-Options消息头来阻止这种形式的跨域交互。

跨域的方法

在浏览器同源策略的安全限制下,跨域的需求仍然是有的。这种需求可以分为正当的和不正当的。具体来说不正当的就是,第三方恶意网站利用同源策略的一些漏洞,对目标网站进行一些不允许的操作,这种操作我们称之为跨域攻击。具体可以参照我的另外几篇博客:

  • CSRF攻击(跨域伪请求)
  • XSS攻击(跨域脚本攻击)

正当的跨域请求可以是: 一些大集团下面的几个子域名之间的跨域交互,也可以是合作网站之间的跨域交互等等,总之就是被允许的。下面来具体说说实现这种正当跨域的几种方法:

写在前面: 所有的跨域方法都会带来安全性的问题,一旦恶意网站能够成功在目标网站运行脚本或者具有操作的能力,他们也就具有了目标网站的跨域能力。

document.domain

脚本可以将 document.domain 的值设置为其当前域或其当前域的超级域。

这种方法的优点就是:简单,只要在前端js中设置就好了
弊端:只适合用于子域与父域之间还有子域之间的跨域

CORS / Access-Control-Allow-Origin: *

实现起来异常简单,主要是通过在服务器设置HttpHeader,客户端检查自己的域是否在允许列表中,决定是否处理响应。详情请参考CORS MDN, 利用CORS实现跨域请求

服务器端可以在HTTP的响应头中加入(页面层次的控制模式):
Access-Control-Allow-Origin: example.com
Access-Control-Request-Method: GET, POST
Access-Control-Allow-Headers: Content-Type, Authorization, Accept, Range, Origin
Access-Control-Expose-Headers: Content-Range
Access-Control-Max-Age: 3600

多个域名之间用逗号分隔,表示对所示域名提供跨域访问权限。"*"表示允许所有域名的跨域访问。

此方法的优点:简单快捷,配置简单,基本可以解决任何域的跨域问题
弊端:仅适用与客户端与跨域服务器的交互;另外具有浏览器的兼容性问题,不兼容IE7以及以下。
在IE8——IE9 中要使用xhr = new XDomainRequest();来替代xhr = new XMLHttpRequest();

查看跨域脚本的错误

在以前,当尝试使用 window.onerror 去记录跨域脚本的错误时,只会返回 Script error, 没法获取到具体的报错信息。这种情况在html5中得到了改观,html新加了一个crossorigin属性,允许捕获跨域脚本的详细错误信息,但是有两个条件:

  1. 跨域脚本的服务器必须通过 Access-Controll-Allow-Origin 头信息允许当前域名可以获取错误信息
  2. 当前域名的 script 标签也必须指明 src 属性指定的地址是支持跨域的地址,也就是要添加crossorigin 属性

crossorigin 具有两个值:
anonymous: 请求不带 credentials flag .
use-credentials: 请求携带 credentials flag .

credentials flag 也就是常说的cookies, client-side SSL certificates

window.postMessage

postMessage是HTML5新的语法特性,可以让跨域的脚本之间进行交互,主要分为消息的发送端和消息的接收端。
发送端:
otherWindow是其他窗口的一个引用,比如iframe的contentWindow属性、执行window.open返回的窗口对象、或者是命名过或数值索引的window.frames。

otherWindow.postMessage(
message, // 要发送到其他窗体的消息,可以传送任何数据对象
targetOrigin, // 消息要发送到的域,由完整的协议、地址、端口组成
[transfer] // 这是一个可选的抽象接口
);

otherWindow.postMessage() 方法被调用时,会在所有页面脚本执行完毕之后(e.g., 在该方法之后设置的事件、之前设置的timeout 事件,etc.)向目标窗口派发一个 MessageEvent 消息。
接收端:

window.addEventListener("message", receiveMessage, false);

function receiveMessage(event)
{
  // For Chrome, the origin property is in the event.originalEvent
  // object.
  var origin = event.origin || event.originalEvent.origin; 
  if (origin !== "http://example.org:8080")
    return;

  // ...
}

message 事件,包含4个参数

  • message 属性表示该message 的类型;
  • data 属性为 window.postMessage 的第一个参数即message;

— origin 调用window.postMessage() URI
— source 调用window.postMessage() 的窗口对象

兼容性:在 Gecko 6.0 (Firefox 6.0 / Thunderbird 6.0 / SeaMonkey 2.3)之前, 参数 message 必须是一个字符串。而IE10下面也有奇怪的问题

优点:适合同一个浏览器两个跨域页面之间的脚本交互
弊端:只能从窗口的引用(也就是window.open或者window.frames[0].contentWindow)发送消息到目标窗口,适用的范围有限

JSONP

jsonp 是比较古老的跨域方法,也是比较常用的跨域
具体来说,它的实现如下:

function jsonp(url,data,callbackName) {
var script = document.createElement('script');
var src = url+ '?'+ data+ 'calback='+callbackName;
script.src = src;
document.head.appendChild(script);
}

function callbackName(data){
    // data from server;
}

JSONP的坑

因为在jquery中JSONP使用的是ajax的封装接口,很多人它会是ajax的一种技术,实际上它是利用<script>标签天生具有跨域能力的一种技术,所以很多人在jquery中使用JSONP时都会踩坑。

  • 坑一:同步,很多人会想当然地使用ajax的同步参数async来实现同步。实际上jsonp只有异步,因为script是异步加载的
  • 坑二:错误回调,在使用jquery的过程,很多人会使用ajax的errorfail接口,来捕获跨域的异常返回。ajax的错误接口只能捕获请求超时、终止、json解析错误等正常的错误,但是对于网络不通、服务器异常,jquery是选择静默地失败的。

那怎么捕获jsonp的异常呢?
实际上<script>标签在遇到这些错误时会触发error事件。所以上面的代码我们可以稍微改一下,增加一个捕获异常的回调

function jsonp(url,data,callbackName,errorbackName) {
var script = document.createElement('script');
var src = url+ '?'+ data+ 'calback='+callbackName;
script.src = src;
script.onerror = errorbackName;
document.head.appendChild(script);
}

function callbackName(data){
    // data from server;
}

另外在jquery中的处理主要有两种方法,参考 jQuery使用JSONP时的错误处理

  • 手动暴露jsonp 的错误接口
var head = document.head || $('head')[0] || document.documentElement; // code from jquery
var script = $(head).find('script')[0];
script.onerror(function(evt) {
    alert('error');
});
  • 使用jsonp的拓展库

针对jquery处理jsonp的坑,早有大神封装好插件,直接引用就可以了,方便快捷省心。传送门

【相关】
web安全,是一个很重要的技能,也是一个领域的知识。我把这个领域的东西写成了一个系列,以后还会继续完善下去:
web安全一:同源策略与跨域
web安全二:CSRF 攻击
web安全三:XSS 攻击

相关推荐