referer和token谁更安全?

referer和token谁安全等级高?

token安全等级更高,因为并不是任何服务器都可以取得referer,如果从HTTPS跳到HTTP,也不会发送referer。并且FLASH一些版本中可以自定义referer。

但是token的话,要保证其足够随机且不可泄露。(不可预测性原则)

referer不是所有服务器都有的,如果协议从HTTPS降级为HTTP,也不会有referer,而token必须保证它的随机性和不可泄露,所以token的安全等级更高。

referer如何验证?

对header中的referer的验证,一个是空referer,一个是referer过滤或者检测不完善。

为了杜绝这种问题,在验证的白名单中,正则规则应当写完善。

对于referer的验证,一个是是否为空,即检查是否存在referer字段,第二个就是是否过滤机制完善,有没有存在漏洞。

token如何验证?

引用一段请教前辈的回答:

针对token的攻击,一是对它本身的攻击,重放测试一次性、分析加密规则、校验方式是否正确等,二是结合信息泄露漏洞对它的获取,结合着发起组合攻击

信息泄露有可能是缓存、日志、get,也有可能是利用跨站

很多跳转登录的都依赖token,有一个跳转漏洞加反射型跨站就可以组合成登录劫持了

另外也可以结合着其它业务来描述token的安全性及设计不好怎么被绕过比如抢红包业务之类的

对token的检查和验证应该与其他漏洞的防御相结合,如XSS攻击,因为针对token的攻击往往是与其他漏洞一起利用的。

相关推荐
前端双越老师1 分钟前
为何前端圈现在不关注源码了?
面试·前端框架·源码
江城开朗的豌豆10 分钟前
Vue和React中的key:为什么列表渲染必须加这玩意儿?
前端·vue.js·面试
hqxstudying3 小时前
Java异常处理
java·开发语言·安全·异常
liulilittle6 小时前
C++ TAP(基于任务的异步编程模式)
服务器·开发语言·网络·c++·分布式·任务·tap
PAK向日葵8 小时前
【算法导论】如何攻克一道Hard难度的LeetCode题?以「寻找两个正序数组的中位数」为例
c++·算法·面试
guts°9 小时前
17-VRRP
网络·智能路由器
Jewel Q9 小时前
动态路由协议基础
网络·智能路由器
宇称不守恒4.010 小时前
2025暑期—06神经网络-常见网络2
网络·人工智能·神经网络
Dreams_l10 小时前
网络编程2(应用层协议,传输层协议)
运维·服务器·网络
数据与人工智能律师11 小时前
数字迷雾中的安全锚点:解码匿名化与假名化的法律边界与商业价值
大数据·网络·人工智能·云计算·区块链