禁用跨域ajax请求

Question

有没有办法禁用跨域ajax请求？

假设有两个域：mywebsite.com 和 hackerswebsite.com。在 mywebsite.com 上有一个网站，其中包含带有 AJAX 功能的 javascript，可将数据发送到 hackerswebsite.com .我只想阻止这种情况，只允许向 mywebsite.com 域发送 AJAX 请求。

我知道有类似“同源策略”的东西，但据我所知，它适用于第二个域，并且可以阻止来自其他域的连接。

更准确地说，假设我有一个网站，用户可以在其中运行自己的 javascript。如果他们可以编写自己的脚本，他们可以从 DOM 文档中获取任何数据并将其异步发送到他们自己的服务器，该服务器将接受来自我的域的数据。例如登录名。我说的对吗？

如果我错了，请纠正我。我只是想了解这个安全策略。

Answer 1

听起来您想要一个content security policy (CSP) 来限制页面可以使用和不可以使用的资源和 Ajax 目标。

同源策略旨在防止网站读取来自第三方的凭据响应（例如，我加载了evil.com，并且该网站指示我的浏览器使用我的bank.com cookie 获取我的在线银行对账单）。 SOP并非旨在阻止用户或网站发送数据到他们喜欢的任何地方。

网站的 CSP 旨在将资源访问列入白名单，以防出现以下任一情况：

1. 该网站受到 XSS 攻击的威胁，并突然以您未预料到的方式运行，或者
2. 该网站在用户 B 拥有的浏览器上运行用户 A 提供的内容，并且该内容需要被沙盒化。

需要明确的是，第 2 种情况的危险不是用户可以运行他自己的 JavaScript，而是用户可能运行某些其他用户的脚本。

一个示例 CSP 可能是：

Content-Security-Policy: default-src 'self'; frame-src 'none'; object-src 'none';

这将阻止任何加载 iframe 或插件的尝试，并将所有其他资源加载（包括图像、脚本、样式表和 Ajax 请求）限制在当前来源。如果您想允许插件或 iframe，您可以删除其中一个或这些指令，它们将回退到 default-src 指令。您可以使用connect-src 指令专门限制Ajax。

另请注意，如果您让用户运行任意脚本，您可能仍然会遇到严重的问题（例如，使用误导性内容重写页面），即使使用非常严格的 CSP 来处理跨域网络请求。