关于jquery：X-Requested-With标头有什么意义？

What's the point of the X-Requested-With header?

jquery和其他框架添加了以下标题：

X-Requested-With: XMLHttpRequest

号

为什么需要这样做？为什么服务器要将Ajax请求与普通请求区别对待？

更新：我刚刚找到了一个使用这个标题的真实例子：https://core.spreedly.com/manual/payment-methods/adding-with-js。如果在没有Ajax的情况下请求支付处理器，它会在完成后重定向回原始网站。当使用Ajax请求时，不会执行重定向。

相关讨论

一个很好的安全原因是，这可以防止CSRF攻击，因为没有服务器通过CORS的同意，这个头不能添加到Ajax请求跨域中。

只允许跨域使用下列头：

Accept

Accept-Language

Content-Language

Last-Event-ID

Content-Type

号

任何其他原因都会导致在CORS支持的浏览器中发出"飞行前"请求。

如果没有CORS，就不可能向跨域XHR请求添加X-Requested-With。

如果服务器正在检查此头是否存在，则它知道请求不是从试图使用javascript代表用户发出请求的攻击者域发起的。这还检查了请求是否不是从常规的HTML表单发布的，很难在没有使用令牌的情况下验证它是否是跨域的。(不过，在受支持的浏览器中，检查Origin头可能是一个选项，尽管您会使旧浏览器容易受到攻击。)

发现新的闪存旁路

您可能希望将其与一个令牌结合起来，因为在OSX上运行Safari的flash可以在有重定向步骤的情况下设置这个头部。它似乎也对铬起作用，但现在已得到修复。这里有更多的细节，包括受影响的不同版本。

OWASP建议将此与源站和引用检查结合使用：

This defense technique is specifically discussed in section 4.3 of
Robust Defenses for Cross-Site Request Forgery. However, bypasses of
this defense using Flash were documented as early as 2008 and again as
recently as 2015 by Mathias Karlsson to exploit a CSRF flaw in Vimeo.
But, we believe that the Flash attack can't spoof the Origin or
Referer headers so by checking both of them we believe this
combination of checks should prevent Flash bypass CSRF attacks. (NOTE:
If anyone can confirm or refute this belief, please let us know so we
can update this article)

号

然而，由于已经讨论过的原因，检查来源可能很棘手。

更新

在这里写了一篇关于CORS、CSRF和X-REQUEST-WITH的更深入的博客文章。