Когда Firefox устанавливает нулевой заголовок Origin в запросах POST?

Question

Когда Firefox устанавливает нулевой заголовок Origin в запросах POST?

Как вы можете видеть из этого потока Bugzilla (а также), Firefox не всегда отправляет заголовок Origin в запросах POST. RFC заявляет, что его не следует отправлять в определенных неопределенных контекстах, "чувствительных к конфиденциальности". Mozilla определяет эти контексты здесь.

Я хотел бы знать, являются ли это единственными ситуациями, когда Firefox не отправляет заголовок Origin. Насколько я могу судить, он также не будет отправлять запросы POST (хотя Chrome и IE будут это делать), но я не могу подтвердить это в документации. Это где-то перечислено, что я скучаю?

Благодарю.

87

http firefox cors cross-domain fetch-api

Источник

user2741229 15 фев '17 в 02:23

3 ответа

Решение

Для меня это происходило в суперстандартной форме POST с относительным URL-адресом на локальном хосте и, похоже, было вызвано тем, что

      <meta name="referrer" content="no-referrer">

в <head>.

Изменение его на

      <meta name="referrer" content="same-origin">

казалось, сделал Firefox счастливее.

5

Источник

user14558 14 дек '21 в 06:04

_{Я хотел добавить некоторую информацию к великолепному ответу @sideshowbarker , который стал наиболее полным источником по этой теме и даже связан с MDN . Чтобы дополнить этот ответ, я рассмотрел различные спецификации и выявил некоторые изменения, произошедшие с момента первой публикации ответа. Я также систематизировал информацию, чтобы ее было легче читать. Кроме того, я использовал ссылки на WebArchive начала 2023 года вместо прямых ссылок, поскольку в будущем спецификации могут измениться.}

_{Важно отметить, что и , и мой ответ следует использовать в качестве рекомендаций, поскольку реализации, наборы правил и варианты остаются на усмотрение разработчиков браузера.}

_{Используйте их в качестве руководства, а если вы не уверены, обязательно проведите тесты.}

Как упомянул user441757 , различные спецификации определяют нулевое значение. заголовок как:

непрозрачное происхождение
нулевое происхождение

Благодаря этому мы можем фильтровать спецификации, чтобы выяснить, когдаOriginзаголовокnull:

или запросы, которые не допускают совместное использование ресурсов между источниками (CORS) или используют веб-сокеты . Для всех других режимов запроса , использующихsame-origin,navigateили заголовок Origin опускается. Некоторые веб-API позволяют указать , например , а другие имеют значения по умолчанию, например запрос внешнего ресурса: ^{1, 2.}
- Любой встроенный HTML-элемент, который запрашивает свое содержимое через URL-адрес. Эти элементы включают в себя<link>,<script>,<img>,<audio>,<video>,<object>,<embed>, и . Эти HTTP-запросы используютno-corsрежим по умолчанию, если толькоcrossoriginАтрибут установлен в элементе HTML. Обратите внимание, что<canvas>,<math>, и<svg>не включены, так как не могут запрашивать данные из внешних ресурсов (например, с помощьюsrcатрибут). ^{1, 2, 3}
- Любой или запрос, где опция имеет значение "navigate", "same-origin", или "no-cors". По умолчанию,fetch()использует режим. ^{1, 2}
- (Примечание: , в отличие от не позволяет устанавливать a и по умолчанию равно , что означает, что все отправляются с заголовком Origin. )⁴
Referrer-Policy установлен в no-referrer для любых запросов, которые не используют метод или и не используют или . ⁵
Ответы, которые являются сетевыми ошибками . Статус HTTP-ответа 404 или 500 не является сетевой ошибкой, поскольку запрос успешно достиг сервера. Скорее неверный протокол, заголовок или место, где сервер не может отправить ответ. ⁶
Content-Security-Policy (CSP) заблокировал ответы навигации. Термин «навигационные ответы» относится к местам, к которым пользователь может перейти (через<a>, ,window.location) или отправьте форму (через<form>). ответы не считаются навигационными ответами. ⁷
Схемы URL :
- Любой встроенный встроенный файл, созданный по схеме^8.
- В схеме может отсутствовать заголовок Origin (зависит от браузера) ⁹
- В некоторых случаях для blob:схема ¹⁰
- Любой другой URL-адрес, схема которого не является одной из http, https, ftp, ws, wssили gopher ¹¹
Некоторые контексты просмотра не имеют Origin . Контекст просмотра — это среда, в которой отображается веб-страница или приложение, которая может быть вкладкой , окном или даже частями страницы, например фреймом или iframe . Создатель (в предыдущих спецификациях HTML он назывался «контекстом просмотра создателя» ) — это контекст просмотра, который отвечал за создание другого контекста просмотра. Существует два типа создателей: открывающий контекст просмотра (например, щелчок по ссылке на другую страницу, страница, в которую вставлена ссылка, является открывающим) и родительский контекст просмотра (например, страница, встраивающая iframe, является родительским контекстом просмотра). Спецификация HTML рассматривает следующие случаи без заголовка Origin:
- Любой <iframe>с sandboxатрибут, который не содержит значения allow-same-origin¹²
- Любой документ, созданный программным путем с использованием контекста просмотра создателя или не имеющий его. ^{13, 14}

Использованная литература:

4

Источник

user3673659 05 май '23 в 09:52

Другие вопросы по тегам http firefox cors cross-domain fetch-api

user441757 15 фев '17 в 07:11 2017-02-15 07:11 · Accepted Answer · 2017-02-15 07:11

Насколько требуют спецификации, вопрос выше должен быть разделен на пару ответов:

Когда браузеры должны отправить заголовок Origin
Когда браузеры должны внутренне установить источник в значение, которое будет сериализовано как null

Я сомневаюсь, что то, что требуется Firefox для этого (где оно отличается от спецификации), перечислено. Но что касается перечисления спецификационных требований, здесь они, в деталях, состоят из двух частей:

Когда браузеры должны отправить заголовок Origin

Ответ на вопрос Когда браузеры должны отправлять заголовок Origin? это Origin заголовок отправляется только для любого запроса, который спецификация Fetch определяет как запрос CORS:

CORS-запрос - это HTTP-запрос, который включает Origin заголовок. Он не может быть надежно идентифицирован как участвующий в протоколе CORS, поскольку Origin заголовок также включен для всех запросов, чей метод не GET ни HEAD,

Фактическое утверждение в спецификации Fetch, которое требует от браузеров отправлять Origin заголовок для всех запросов, чей метод не GET ни HEAD это:

Если установлен флаг CORS или метод httpRequest не является GET ни HEAD, а затем добавить Origin Происхождение / httpRequest, сериализованное и закодированное в UTF-8, в список заголовков httpRequest.

Так что для отправки требуется браузер Origin для всех POST запросы, в том числе одного происхождения POST s (которые по определению в Fetch на самом деле являются "запросами CORS" - даже если они одного происхождения).

Примечание. Выше описано, как спецификация Fetch в настоящее время определяет требования, в связи с изменением спецификации в 2016-12-09. До тех пор требования были другими:

ранее нет Origin был отправлен для одного и того же происхождения POST
ранее нет Origin был отправлен на отправку перекрестного происхождения из <form> (без CORS)

Поэтому я думаю, что поведение Firefox, описанное в этом вопросе, соответствует тому, что ранее требовалось для спецификации, а не тому, что требует спецификация в настоящее время.

Другие случаи, когда браузеры должны отправлять Origin заголовок - это любые случаи, когда запрос сделан с установленным "флагом CORS", который, насколько HTTP(S) запросы, кроме случаев, когда режим запроса navigate , websocket , same-origin , или же no-cors,

XHR всегда устанавливает режим на cors, Но с Fetch API эти режимы запросов можно установить с помощью mode поле аргумента объекта init для fetch(…) метод:

fetch("http://example.com", { mode: 'no-cors' }) // no Origin will be sent

Наряду с этим, для любого элемента с crossorigin атрибут (он же "атрибут установки CORS), спецификация HTML требует, чтобы браузеры установили режим запроса на cors (и отправить Origin заголовок).

В противном случае для любых элементов, инициирующих запросы (скрипты, таблицы стилей, изображения, медиа-элементы), режим для запросов по умолчанию равен no-cors, что означает нет Origin Заголовок отправляется для них.

Так что выше приведены подробности об условиях, при которых браузеры отправляют Origin заголовок.

Следующая часть ответа о том, когда начальное значение будет установлено на null,

Когда браузеры должны установить origin на значение, которое будет сериализовано как `null`

Отдельно от требований, когда браузеры должны отправлять Origin заголовок - это требования, когда браузеры должны установить источник в null, которые определены в следующих спецификациях:

Спецификация HTML использует термин непрозрачное происхождение и говорит следующее:

Внутреннее значение, без сериализации, из которого оно может быть воссоздано (оно сериализуется как "ноль" для ASCII-сериализации источника), для которого единственной значимой операцией является проверка на равенство.

Другими словами, везде, где в спецификации HTML указано непрозрачное происхождение, вы можете перевести это на null,

Спецификация HTML требует, чтобы браузеры устанавливали непрозрачный источник или уникальный источник в следующих случаях:

Спецификация Fetch требует, чтобы браузеры устанавливали в качестве источника "глобально уникальный идентификатор" (что в основном означает то же самое, что и "непрозрачное происхождение", что в основном означает null …) В одном случае:

Перенаправляет через происхождение

Спецификация URL требует, чтобы браузеры устанавливали непрозрачное происхождение в следующих случаях:

За blob: URL - адрес
За file: URL - адрес
Для любых других URL, чья схема не является одной из http , https , ftp , ws , wss , или же gopher,

Но важно понимать, что только потому, что браузер внутренне установил непрозрачное происхождение - по сути, null - это не обязательно означает, что браузер отправит Origin заголовок. Так что смотрите первую часть этого ответа, чтобы узнать, когда браузеры должны отправлять Origin заголовок.

Когда Firefox устанавливает нулевой заголовок Origin в запросах POST?

3 ответа

Когда браузеры должны отправить заголовок Origin

Когда браузеры должны установить origin на значение, которое будет сериализовано как null

Использованная литература:

Когда браузеры должны установить origin на значение, которое будет сериализовано как `null`