X-CSRF-Token-Header global zu allen Instanzen von XMLHttpRequest() hinzufügen;

Question

Ich benutze eine Third-Party-Bibliothek, die eine rohe XMLHttpRequest mit new XMLHttpRequest hervorbringt.

Dies umgeht meinen CSRF-Schutz und wird von meinem Rails-Server abgeschossen.

Gibt es eine Möglichkeit zum globalen Hinzufügen eines vordefinierten CSRF-Tokens ($('meta[name=csrf-token]').attr('content')) zu allen Instanzen von XMLHttpRequest zur Instanziierungszeit?

Answer 1

ich intercept calls zum send Methode empfehlen würde:

(function() { 
    var send = XMLHttpRequest.prototype.send, 
     token = $('meta[name=csrf-token]').attr('content'); 
    XMLHttpRequest.prototype.send = function(data) { 
     this.setRequestHeader('X-CSRF-Token', token); 
     return send.apply(this, arguments); 
    }; 
}()); 

Dieses gewonnen Fügen Sie die Kopfzeile nicht zur Instanziierungszeit hinzu, sondern direkt bevor die Anfrage gesendet wird. Sie kann abfangen Anrufe zu new XMLHttpRequest() als auch, aber das wird nicht hilfreich sein, wie Sie mit dem Hinzufügen der Kopfzeile warten müssen, bis open aufgerufen wurde.

Sie möchten vielleicht auch einen Test für die Ziel-URL der Anfrage einfügen, so dass Sie nur die Kopfzeile hinzufügen, wenn Ihre eigene API aufgerufen wird. Anderenfalls könnte das Token an anderer Stelle verloren gehen oder sogar domänenübergreifende CORS-Aufrufe, die diesen Header nicht zulassen, unterbrochen werden.

Answer 2

Sie die Ajax-Methode open() wickeln kann zu öffnen und dann sofort den Header gesetzt:

(function() { 
    var op = XMLHttpRequest.prototype.open; 
    XMLHttpRequest.prototype.open = function() { 
     var resp = op.apply(this, arguments); 
     this.setRequestHeader('X-CSRF-Token', $('meta[name=csrf-token]').attr('content')); 
     return resp; 
    }; 
}()); 

Answer 3

Wenn Sie eine JQuery unabhängige Lösung benötigen könnten Sie verwenden:

(function() { 
     var send = XMLHttpRequest.prototype.send, 
      token = document.getElementsByTagName('meta')['csrf-token'].content; 
     XMLHttpRequest.prototype.send = function(data) { 
      this.setRequestHeader('X-CSRF-Token', token); 
      return send.apply(this, arguments); 
     }; 
    }());