javascript – 全局添加X-CSRF-Token标头到XMLHttpRequest()的所有实例;

我正在使用第三方库,它使用新的XMLHttpRequest生成原始XMLHttpRequest.

这绕过了我的CSRF保护并被我的rails服务器击落.

有没有办法在实例化时将全局添加预定义的CSRF令牌($(‘Meta [name = csrf-token]’).attr(‘content’))添加到XMLHttpRequest的所有实例？

解决方法:

我建议intercept calls到send方法：

(function() {
    var send = XMLHttpRequest.prototype.send,
        token = $('Meta[name=csrf-token]').attr('content');
    XMLHttpRequest.prototype.send = function(data) {
        this.setRequestHeader('X-CSRF-Token', token);
        return send.apply(this, arguments);
    };
}());

这不会在实例化时添加标头,而是在发送请求之前添加标头.您也可以拦截对新XMLHttpRequest()的调用,但这不会有用,因为您需要等待添加标头直到调用open.

您可能还希望包含对请求的目标URL的测试,以便您只在调用自己的api时添加标头.不这样做可能会将令牌泄漏到其他地方,甚至可能会破坏不允许此标头的跨域CORS调用.