V Maxthonu nejdou psát příspěvky do diskuse

Hm, co s tím.

Skutečné řešení by bylo používat proti CSRF token místo kontroly refereru.

Pokud se to týká jen marginálního prohlížeče, tak by se v něm formulář nemusel odesílat AJAXem.

Reaguji na Str4wberryho:
„Hm, co s tím.“
Sledovat nějakou druhou HTTP hlavičku jako alternativu k Refererovi. JavaScriptem můžu posílat jakoukoliv a požadavky vyvolané z cizích stránek ji nemají šanci napodobit, stejně jako nemůžou podvrhnout Referera.

Nebavili jsme se o tom už někdy? Mám tušení, že jsem tohle už někdy chtěl navrhnout jako ultimátní řešení problému s vypnutým Refererem (ale asi jsem to nikam nenapsal). Vesměs všechny POSTy tu už dělá JS. Takže kdo má zapnutý JS, nemusel by mít zapnutého Referera.

Je tam, jak píšu, jako ochrana proti CSRF.

Reaguji na joa:
„v JavaScriptu se nastaví referer na aktuální stránku, odkud se příspěvek posílá a v PHP se zkontroluje, zda referer odpovídá“
On především referera nastavuje prohlížeč při normálním odesílání. To, že se do toho montuje JavaScript a snaží se nasimulovat stejné chování při posílání AJAXem, je v tuto chvíli vedlejší.

„brání podvrhnout referer v PHP a pak posílat v XHR jako referer podvrhnutou adresu“
Do referera vyplňuje skript adresu stávající stránky, ne adresu referera stávající stránky. XHR z jiné domény nepošleš kvůli bezpečnostní bariéře v prohlížečích.

Cílem tohoto opatření je, abys nemohl vysílat požadavky jménem někoho jiného. Třeba bys vložil do diskuse odkaz na svoji zlotřilou stránku, v níž by byl skriptem automaticky odesílaný formulář zpátky do DJPW s pokynem „smaž vlákno XYZ“ — já bych tu tvoji stránku navštívil a v ten moment by DJPW vlastně dostala pokyn ode mě, tedy lépe řečeno HTTP požadavek s mojí všemocnou moderátorskou sušenkou… takže by ho bez námitek vykonala. Kdyby nezkontrolovala referera. Standardními prostředky nemůžeš referera podvrhnout u netušící oběti.