javascript - 我们可以使用 javascript 在 http 请求中添加引荐来源网址吗？

Question

我正在一个网站上测试 CSRF。该网站通过检查推荐人字段来阻止 CSRF。现在我创建了一个发送请求的 HTML 页面。如何使用 JavaScript 或任何其他方法将引用字段添加到该请求？

Answer 1

网页不应该能够Referer使用 JavaScript 向请求添加标头。但是，根据Wikipedia的说法，依赖Referer标头仍然存在一些问题：

• 一些代理会自动去除Referer标题。所以它并不总是在那里。

• 网页“可以Referer通过从 FTP 或 HTTPS URL 发出请求来抑制标头。”</p>

• “[O]ld 版本的 Flash（9.0.18 之前）允许恶意 Flash使用 CRLF 注入生成带有任意 HTTP 请求标头的 GET 或 POST 请求。”</p>