首页 > Web开发 > 详细

ajax请求跳转无效的解决方案及其安全隐患

时间:2018-08-22 17:41:15      阅读:279      评论:0      收藏:0      [点我收藏+]

有时候,网站在登录时需要根据用户的类型(权限)进行不同页面的跳转。

技术分享图片

利用ajax请求可以避免页面的频繁跳转,有效改善用户体验。

ajax请求主要的代码:

技术分享图片

正则表达式验证:

技术分享图片

如果在后端经过一系列的验证,成功登录后,以重定向的方式跳转如:response.sendRedirect("/easyPartTimeJob/view/html/student.html"),此时页面并不会跳转到页面,但是响应已经到达页面:

技术分享图片

 

原因:(摘录于网络)

ajax只是利用脚本访问对应url获取数据而已,不能做除了获取返回数据以外的其它动作了。所以浏览器端是不会发起重定向的。
1)正常的http url请求,只有浏览器和服务器两个参与者。浏览器端发起一个http请求,服务器端处理后发起一个重定向,浏览器端从response中获取到重定向地址,发起另一个http url请求。也就是说,浏览器会按照response中的内容进行响应(如重定向),这是浏览器的功能决定的就得响应。
2)Ajax请求,参与者就有三个即ajax、客户端、服务器,ajax处于客户端和服务器两者之间。过程是客户端发起一个ajax请求,服务器端处理后,如果发起一个重定向,然后ajax会怎么办呢?它只会获取刚才请求返回的数据,其他的任何动作一概不去做,ajax是这么做的(ajax功能就是这么设定的,ajax框架源代码也是这么写的)。
也就是说,引入了ajax之后,ajax就插在浏览器和服务器之间了,服务器给浏览器的response被ajax拦截了,但是ajax本身却什么都不做,也不转达。

解决方案:(后端返回用户标识,在浏览器完成跳转):

技术分享图片

 

技术分享图片

 这样是可以达到想要的效果的,但是有安全隐患:

正常来说,服务器返回如此的数据,浏览器根据该字段进行跳转

技术分享图片

利用fiddler拦截响应

技术分享图片

在响应到达浏览器前截获响应头,修改该字段为manager,然后放行响应。

技术分享图片

结果本应该跳转到学生首页的跳转到了管理员首页。

技术分享图片

所以登录时我仍然选择表单进行登录,在密码错误时做出提示:

技术分享图片

 

技术分享图片

或者依旧在浏览器跳转,但是在每次操作前检验用户的权限(想想就烦(′?_?`)

 说出你的解决方案!

ajax请求跳转无效的解决方案及其安全隐患

原文:https://www.cnblogs.com/Libinkai/p/9519020.html

(0)
(0)
   
举报
评论 一句话评论(0
关于我们 - 联系我们 - 留言反馈 - 联系我们:wmxa8@hotmail.com
© 2014 bubuko.com 版权所有
打开技术之扣,分享程序人生!