Безопасно ли перенаправление 302? Может ли это быть перехвачено?

Question

Если браузер запрашивает ресурс X, который возвращает 302 и перенаправляет браузер в Y, используя некоторые параметры в get, есть ли способ в javascript или вручную в браузере, чтобы изменить эти параметры?

Так в основном:

1. браузер запрашивает X
2. браузер получает 302 место Y ПП1 = value1
3. браузер запрашивает Y ПП1 = value1

Можно ли изменить value1? каким-либо образом, прежде чем браузер отправит его?

Answer 1

Да, конечно, любой конечный пользователь может использовать инструмент, как Burp Suite перехватывающих прокси для изменения запроса URL на шаге 3.

Кроме того, если запросы через обычный HTTP, а не HTTPS, человеко-In- The-Middle может изменить URL-адрес запроса на этапе 3.

Для защиты от первой ситуации не доверяйте ничего от клиента, который мог бы получить им преимущество, если он изменится.

Для защиты от этого раздела используйте HTTPS с политикой HSTS, чтобы предотвратить понижение.