Compruebe si se aplica la misma política de origen

Question

¿Existe alguna manera "segura" de verificar si la misma política de origen se aplica a una URL antes de intentar realmente utilizar los métodos ajax? Aquí es lo que tengo:

function testSameOrigin(url) { 

    var loc = window.location, 
     a = document.createElement('a'); 

    a.href = url; 

    return a.hostname == loc.hostname && 
      a.port == loc.port && 
      a.protocol == loc.protocol; 
} 

Este tipo de obras, pero es una especie de manual de conjetura basada en la wikipedia article. ¿Hay una mejor manera de verificar previamente la asignación de dominio cruzado? jQuery está bien para usar.

Answer 1

¡Pregunta interesante! Busqué por todas partes y no pude encontrar nada más que lo que publicaste, pero me encontré con esto cuando estaba jugando con algún código de prueba. Si solo quieres una forma simple de probar una URL sin hacer una solicitud, lo haría de la manera que lo estás haciendo. Si no se preocupan por hacer una petición para probar, puede probar esto:

hacer un simple petición AJAX a cualquier URL que desee:

var ajaxRequest = $.ajax({ 
    url: 'http://www.google.com', 
    async: false 
}); 

que devuelve un objeto jqXHR, que luego se puede comprobar:

ajaxRequest.isRejected(); // or... 
ajaxRequest.isResolved(); 

Ahora, el único problema con esto es que isRejected() evaluará a true para todos los casos en que la página no se carga (es decir, 404 no encontrado, etc.), pero se puede comprobar el estado código con:

ajaxRequest.status; 

Parece que la línea anterior devolverá 0 cuando se intenta romper la política del mismo origen, pero devolverá el código de error correspondiente (de nuevo, es decir, 404) en otros casos.

Así que para concluir, tal vez usted podría intentar hacer algo como:

function testSameOrigin(testUrl) { 

    var ajaxRequest = $.ajax({ 
    url: testUrl, 
    async: false 
    }); 

    return ajaxRequest.isRejected() && ajaxRequest.status === 0; 
} 

No es una respuesta definitiva por cualquier medio, pero espero que le ayuda a conocer lo que está buscando!

Answer 2

Otra forma de ejecutar secuencias de comandos de dominios cruzados es usando JSON-P. También puede leer este article. De lo contrario, las secuencias de comandos de dominio cruzado no están permitidas por la misma política de origen.

Answer 3

¿Existe alguna manera "segura" de verificar si la misma política de origen se aplica a una URL antes de intentar realmente utilizar los métodos ajax? Aquí es lo que tengo:

function testSameOrigin(url) { 

    var loc = window.location, 
     a = document.createElement('a'); 

    a.href = url; 

    return a.hostname == loc.hostname && 
      a.port == loc.port && 
      a.protocol == loc.protocol; 
} 

Esta es una manera segura y fiable de hacerlo, siempre y cuando usted está haciendo (o más bien no hacer) ciertas cosas.

Este tipo de trabajo funciona, pero es una suposición manual basada en el artículo de la wikipedia.

Esto debería funcionar en las circunstancias "normales". Deberá modificarse si planea usar cross-domain scripting.

Si modifica document.domain en sus scripts, por ejemplo de "foo.example.com" y "bar.example.com" a "ejemplo.com" su función testSameOrigin volvería false para 'http://example.com', cuando en realidad debería devolver true.

Si está pensando en modificar document.domain, puede agregar simplemente añadir un cheque por que en el script.

Si está planeando usar CORS (consulte el enlace anterior) para permitir la comunicación entre dominios, también devolverá un falso negativo. Pero si está utilizando CORS, tendrá una lista de dominios con los que se puede comunicar, y usted puede agregar esa lista a esta función también.

¿Hay una mejor manera de verificar previamente la asignación de dominio cruzado? jQuery está bien para usar.

Probablemente no

, aunque puede ser vale la pena mencionar que lo que está viendo en la consola de la respuesta de Steve podría ser el "dilema del observador" ... Esos errores parecen que son el resultado de la consola tratando de inspeccionar el otra ventana, no necesariamente desde la secuencia de comandos.

Suponiendo que no se está metiendo con document.domain o usando CORS, su solución original es probablemente mejor, ya que no necesita hacer una solicitud adicional para determinar si el servidor está disponible o no. Incluso si está haciendo algunas secuencias de comandos de dominios cruzados, la mejor opción es modificar la función que tiene ahora para acomodarlo.

Answer 4

edificio fuera de la respuesta de Dagg Nabbit, esto parece un poco más completa:

function sameOrigin(url) { 
    var loc = window.location, a = document.createElement('a') 
    a.href = url 

    return a.hostname === loc.hostname && 
      a.port === loc.port && 
      a.protocol === loc.protocol && 
      loc.protocol !== 'file:' 
} 

Advertencias puedo pensar en:

• no toma en cuenta document.domain
• doesn no tiene CORS en cuenta
• No funciona en IE7 (como lo menciona zanona)
• No funciona k en ambientes extraños (como Android) donde se puede acceso arbitrarias file:// caminos de protocolo (alguien por favor verificar esto, la información sobre androide podría ser obsoleta https://security.stackexchange.com/questions/25138/same-origin-policy-for-file-urls-in-android-browser)

Answer 5

Pruebe esta solución también.

function csrfSafeMethod(method) { 
    // these HTTP methods do not require CSRF protection 
    return (/^(GET|HEAD|OPTIONS|TRACE)$/.test(method)); 
} 

function sameOrigin(url) { 
    // test that a given url is a same-origin URL 
    // url could be relative or scheme relative or absolute 
    var host = window.document.location.host; // host + port 
    var protocol = window.document.location.protocol; 
    var srOrigin = '//' + host; 
    var origin = protocol + srOrigin; 
    // Allow absolute or scheme relative URLs to same origin 
    return (url === origin || url.slice(0, origin.length + 1) === origin + '/') || 
    (url === srOrigin || url.slice(0, srOrigin.length + 1) === srOrigin + '/') || 
    // or any other URL that isn't scheme relative or absolute i.e relative. 
    !(/^(\/\/|http:|https:).*/.test(url)); 
} 

// if you want to check before you make a call 
if (!csrfSafeMethod(data.type) && sameOrigin(data.url)) { 
    // ... 
} 

// or if you want to set csrf token 
$.ajax({ 
    beforeSend: function (xhr, settings) { 
    if (!csrfSafeMethod(settings.type) && sameOrigin(settings.url)) { 
     xhr.setRequestHeader("X-CSRFToken", getCookie("csrftoken")); 
    } 
    } 
});