文章/答案/技术大牛

发布

社区首页 >问答首页 >如果请求的uri和响应的uri相同，为什么Microsoft edge在POST/重定向/GET方法调用时发送空http-referer？

问如果请求的uri和响应的uri相同，为什么Microsoft edge在POST/重定向/GET方法调用时发送空http-referer？
EN

Stack Overflow用户

提问于 2019-02-04 07:19:12

回答 1查看 2.3K关注 0票数 3

目前，我正在从事Django1.11项目，我使用nginx和https方案部署了我的应用程序。我想提交表单，但不想重新提交，所以我使用了POST/重定向/GET模式。一切正常，并且如Mozilla和chrome所期望的那样，即POST/REDIRECT/GET调用将呈现相应的网页，在重新加载和重新提交时，相同的表单将使403访问被拒绝。只有在测试Microsoft浏览器中的相同视图时，才会出现此问题。在调用POST/REDITECT/GET方法时，它直接抛出403。403的原因是“不引用的理由”。Microsoft在使用POST/重定向/GET模式时转发空HTTP引用程序。

我找到了一个补丁

在HTML模板的<meta name="referrer" content="origin-when-cross-origin" />中添加<head>，现在它对边缘也很好。但是，如果我不在标头中添加这个元标记，那么仍然不知道Edge有什么问题。另外，它是否会导致任何安全漏洞？

Django解释了为什么必须进行推荐检查。

Suppose a user visits http://example.com/
            # An active network attacker (man-in-the-middle, MITM) sends a
            # POST form that targets https://example.com/detonate-bomb/ and
            # submits it via JavaScript.
            #
            # The attacker will need to provide a CSRF cookie and token, but
            # that's no problem for a MITM and the session-independent
            # secret we're using. So the MITM can circumvent the CSRF
            # protection. This is true for any HTTP connection, but anyone
            # using HTTPS expects better! For this reason, for
            # https://example.com/ we need additional protection that treats
            # http://example.com/ as completely untrusted. Under HTTPS,
            # Barth et al. found that the Referer header is missing for
            # same-domain requests in only about 0.2% of cases or less, so we can use strict Referer checking.

那么，在这种情况下，是否意味着在HTTP中必须在HTML中添加meta来输入xyz源文件呢？如果是的话，它是否会导致中间人攻击的安全漏洞，因为攻击者可能也有http-referer？

我在网络概念上很差，所以如果我身边有什么遗漏或错误，请纠正我。

microsoft-edge