防止内容注入到HTTP Req标头中

Question

我正在使用Requestly Chrome扩展程序来拦截和修改HTTP请求标头，并在我的NodeJS应用程序中更改其原始值。

如何防止攻击？例如，我可以更改Referer标头和注入链接。

Answer 1

无法阻止用户执行此操作。

您不能信任Referer标头。

Answer 2

您不能，但是您可以尝试使事情变得更困难，这是一种对标头/数据（sha512等）进行签名并在标头/ cookie /数据中添加签名的棘手方法。

在服务器上使用相同的功能来检查该值在传输过程中是否已被修改。

“但是“黑客”仍然可以尝试检查客户端代码并使用签名功能来修改值？”

是，但是您可以将事情转变为完全不合法的事情：

• 使您的应用程序包含大量无用的大脚本，这些脚本什么也不做（当然是丑陋的）
• 将您的签名函数划分为许多（以随机字符命名的）许多函数，然后对其进行丑陋处理，将其中之一放入您无用的大脚本中。
• ...

客户端上没有任何可信任的，但是您可以尝试阻止黑客：D