我们可以使用JavaScript在http请求中添加引荐来源网址吗？

Question

我正在一个网站上测试CSRF。 该网站通过检查引荐来源网址字段来防止CSRF。 现在，我已经创建了一个发送请求的HTML页面。 如何使用JavaScript或任何其他方法将引荐来源网址字段添加到该请求？

Answer 1

网页不应使用JavaScript向请求添加Referer标头。 但是，根据Wikipedia所述 ，依靠Referer标头仍然存在一些问题：

• 一些代理会自动删除Referer标头。 所以它并不总是在那里。

• 一个网页“可以通过从FTP或HTTPS URL发出请求来抑制Referer标头。”

• “ Flash的[O] ld版本（9.0.18之前的版本）允许恶意Flash使用CRLF注入生成具有任意HTTP请求标头的GET或POST请求 。”