SSRF、外部访问、回调与资源滥用
Web 安全与XSS、CSRF、SQL 注入与权限安全#Python全栈#第十八阶段#Web 安全与XSS、CSRF、SQL 注入与权限安全#SSRF、外部访问、回调与资源滥用约 872 字 · 2 分钟阅读
追问显示点击任意追问卡片可收起 / 展开
SSRF 的核心成因是什么，与浏览器跨域请求有什么不同？
追问 服务器根据用户 URL 抓取图片或网页时，为什么可能访问用户浏览器无法访问的目标？CORS 与 TLS 证书验证分别能否解决目标授权问题？
外链抓取怎样限制允许的协议、目标和端口？
追问 业务只需要访问少量合作服务时，为什么应优先使用固定目标或允许列表？内网、回环、链路本地与云服务元数据目标怎样进入禁止范围？
URL 校验后跟随重定向，为什么仍可能突破目标限制？
追问 每一跳的协议与目标是否需要重新检查？怎样限制跳数，避免把认证头或其他秘密转发给不同来源？
域名解析与实际连接之间，怎样可能出现目标判断不一致？
追问 多个解析结果、IPv6 与 DNS 变化怎样检查？为什么一次域名检查不能独自建立保证，实际连接约束和网络出口控制怎样配合？
登录后跳转地址或用户提供的链接，怎样防止开放重定向？
追问 站内相对路径与受信目标怎样限定？为什么仅检查是否包含本站域名可能误判，错误跳转怎样影响用户对网站的信任？
外部请求怎样限制时间、内容体积与连接资源？
追问 连接超时、读取超时与总期限有什么区别？流式读取怎样设置总量上限，重试和并发怎样避免外部慢服务拖垮应用？
Webhook 回调为什么不能只根据请求中的业务 ID 更新状态？
追问 TLS、来源地址和共享秘密各证明什么？为什么回调可能不适用浏览器 CSRF Token，但仍必须验证独立身份与事件真实性？
Webhook 签名验证应该使用什么内容与比较方式？
追问 原始请求字节与解析后重序列化有什么区别？签名算法、密钥标识和安全比较怎样核对，为什么验证前不应先执行副作用？
合法签名的重复回调怎样防止重放和重复业务操作？
追问 已签名的时间信息、事件标识、可接受时差与幂等记录怎样配合？为什么有效签名不能独自证明事件新鲜且从未处理？
如何限制批量导出、文件转换和复杂搜索造成的资源滥用？
追问 单次规模、并发、租户配额和后台任务资源怎样协调？只限制每秒请求次数，为什么仍可能被少量昂贵请求耗尽资源？
外部访问核对资料： OWASP：SSRF Prevention、Webhook Security。