La Stessa politica di origine normalmente impedirebbe che lo scenario si verificasse:

GET http://api.example.com/me/token/generate
// parse the response

La risposta non può essere analizzata attraverso un dominio di terze parti che effettua richieste al tuo dominio. Normalmente il browser lo blocca a causa del SOP.

Dico normalmente perché hai anche aggiunto la seguente intestazione di risposta per rilassare le stesse regole di origine:

header("Access-Control-Allow-Origin: " . $_SERVER["HTTP_ORIGIN"]);

Sotto il seguente malinteso:

The reason I "need" that is that, I'm not only using the REST API on the domain itself through forms and JavaScript. But I'm doing requests using cURL in C++.

Questa intestazione non ha alcuna rilevanza su cURL. L'intestazione viene analizzata solo dai browser, implementando il SOP. Non fa nulla per impedire che arrivino richieste dirette per un client web.

Soluzione

Sul tuo dominio api.example.com , consenti al front-end di effettuare richieste tramite il browser dell'utente:

Access-Control-Allow-Origin: example.com

Sul tuo sito example.com , invia la seguente intestazione con tutte le richieste API AJAX:

X-Requested-With: XMLHttpRequest

Vedi questa risposta per informazioni su questo . In breve, questa intestazione non può essere inviata al dominio incrociato senza che il CORS sia abilitato.

Verifica sul backend dell'API che questa intestazione sia presente quando viene ricevuta una richiesta. Se non lo è, allora è un attacco CSRF.

Sulle tue richieste lato server usando cURL, aggiungi semplicemente l'intestazione manualmente. per es.

X-Requested-With: cURL

Mentre stai verificando che sia presente, queste richieste avranno successo.

Infine, aggiungi qualche autenticazione usando i cookie. Gli utenti del tuo sito Web che hanno effettuato l'accesso devono disporre di un ticket di autenticazione che può essere inviato in un cookie, e dovresti averne uno per le tue richieste di backend cURL da utilizzare. Ciò assicurerà che nessuno possa utilizzare la tua API senza permesso. Potresti voler limitare le azioni che gli utenti Web possono eseguire utilizzando i livelli di autorizzazione perché altrimenti potrebbero tentare di eseguire maliziosamente una funzione che solo lo strumento server CURL dovrebbe eseguire.

Spero di aver capito la tua domanda.

Come per la prima parte, Normalmente, poiché l'autore dell'attacco sarà su origine diversa del tuo server, il browser non consentirà a di leggere la risposta impedendogli così di "analizzare la risposta" e di inviare il token in una richiesta successiva. Ma hai esplicitamente permesso tutte le origini che rendono questa protezione inutile.

Inoltre, il token generato dovrebbe ovviamente richiedere l'autenticazione di qualche tipo, in cui il token dell'utente A non sarà valido per l'utente B, quindi anche se invierà manualmente il token, non sarà valido.

Seconda parte, Se disponevi di un qualche tipo di meccanismo di token correttamente implementato, indipendentemente da dove proveniva la richiesta, il token avrebbe impedito l'attività dannosa.

Per quanto riguarda la terza parte, se ho capito correttamente la tua domanda: Per quanto riguarda il funzionamento da un browser, CORS non consente di impostare l'origine utilizzando javascript o qualsiasi codice lato client . Quindi, nel caso di un attacco CSRF che richiede un certo valore per Origin, l' utente malintenzionato non può falsificare quel valore usando Javascript.

Spero che ti aiuti.

Considerando lo scenario della domanda originale, penso che il token OAuth / JWT sia l'approccio raccomandato. Per tali scenari, si desidera consentire ad altre origini di avere accesso alle proprie API, ma si accettano solo quelle richieste che sono autorizzate. È qui che un token JWT fornisce questo livello di sicurezza in quanto le attestazioni vengono aggiunte al token e puoi aggiungere i filtri di autorizzazione in base a tali attestazioni.

Per coloro che desiderano solo consentire le stesse richieste di origine, nessuna autenticazione dell'utente e impedire CSRF, un token anti-contraffazione con un filtro di convalida può fare il trucco. Un caso tipico potrebbe essere un modulo di contatto. Per ulteriori informazioni su questo, dai un'occhiata a questo esempio con un'app angularjs:

link

spero che aiuti.