Skip to main content
1 de 2
Juan
  • 5.7k
  • 1
  • 11
  • 15

Si eso fuera posible, no seria necesario tener acceso al javascript, lo podría hacer el atacante desde su maquina o cualquier otra.

Como reglas generales:

El front end web debe considerarse inseguro desde la perspectiva del servidor. Esto significa que el servidor debe validar todo lo que le llega y no asumir que el cliente web ya hizo la verificación.

Cuando usas ajax, sólo permitirá ejecutar llamadas si el script que tiene el ajax se descargó del serividor al que le estas haciendo la llamada siguiendo la politica de same origin.

En el caso en que el cliente esté en otro origin, en el servido deberás configuar cors para que solo el origen autorizado pueda hacer llamadas con ajax.

Juan
  • 5.7k
  • 1
  • 11
  • 15