为什么 WebSockets 没有同源策略？为什么我可以连接到 ws://localhost？

Question

我想为我的应用程序（DaemonWebGUI 和 DaemonFatClient 等）使用 WebSockets 进行进程间通信。在测试期间，我尝试通过 websocket.org (http://www.websocket.org/echo.html) 上的 JavaScript WebSocket 客户端连接到本地运行的 Web 套接字服务器 (ws://localhost:1234)。

我现在的问题是：
为什么会这样？ 浏览器中是否没有实施跨域策略（此处：Linux 上的 FF29）？

我问是因为如果 websocket.org 是邪恶的，它可能会尝试与我的本地 WS 服务器通信并将它从 localhost 接收到的每条消息重定向到任何其他服务器：

本地 WebSocket 服务器 浏览器 邪恶的 Web 服务器 在 ws://localhost:1234 在 http://evil.tld | | | | |-----[GET /]--------->| | || | | |----[邪恶前锋]---->| | | |

我还没有测试整个用例，但是从 websocket.org 提供的 JS 连接到 ws://localhost 确实有效。

Answer 1

WebSockets可以跨域通信，不受SOP（Same Origin Policy）限制。

没有 WebSockets 也可能发生您描述的相同安全问题。

邪恶的JS可以：

• 创建一个带有指向 evil.tld 的 URL 的脚本/图像标记，并将数据放入查询字符串中。
• 创建一个表单标签，将数据放入字段中，然后调用表单的“提交”操作，执行一个可以跨域的 HTTP POST。 AJAX 受 SOP 限制，但普通 HTTP POST 不受限制。检查 XSRF 网络安全问题。

如果某些东西在您的页面中注入了 javascript，或者您收到了恶意 javascript，那么您的安全性就已经被破坏了。

Answer 2

oberstet answered the question。谢谢！不幸的是，我无法将其标记为“正确”，因为它是一条评论。浏览器发送可以被应用程序检查的“origin”标头。

在 Java [1] 中：

@Override
public void onOpen(WebSocket clientSocket, ClientHandshake 握手) {
    String clientOrigin = handshake.getFieldValue("origin");

    if (clientOrigin == null || !clientOrigin.equals(WEBSOCKET_ALLOWED_ORIGIN_HEADER)) {
        logger.log(Level.WARNING, "客户端没有发送正确的源头：" + clientOrigin);

        clientSocket.close();
        返回;
    }

    // ...
}

[1] 使用https://github.com/TooTallNate/Java-WebSocket

Answer 3

解决“为什么？”与 AJAX 调用相反，浏览器不为 WebSockets 强制执行同源策略（其中 CORS 是一种放松）的部分原因是因为 WebSockets 是在建立跨域请求的价值之后引入的，并且因为它们'不受 SOP 约束，CORS 客户端检查的历史原因不适用。

对于 AJAX，在单一来源策略的时代，服务器从不期望经过身份验证的浏览器从不同的域发送请求¹，因此不需要确保请求是来自受信任的位置²，只需检查会话 cookie。后来的 CORS 等放松必须进行客户端检查，以避免通过违反此假设来避免 exposing existing applications to abuse（实际上是在执行 CSRF attack）。

如果今天发明了 Web，知道我们现在所知道的，AJAX 就不需要 SOP 和 CORS，并且所有验证都可能留给服务器。

WebSockets 是一种较新的技术，旨在从一开始就支持跨域场景。任何编写服务器逻辑的人都应该意识到跨域请求的可能性并执行必要的验证，而不需要像 CORS 那样采取严厉的浏览器端预防措施。

---

¹ 这是一个简化。资源的跨域 GET 请求（包括 、 和

² 事实上，检查请求源的安全方法甚至不可用，因为 Referer 标头可以被欺骗，例如使用开放重定向漏洞。这也说明了当时对 CSRF 漏洞的理解是多么糟糕。