‫درک هدرهای HTTP متادیتای فچ (Fetch Metadata)

چکیده: با پیچیده‌تر شدن تهدیدات امنیتی در بستر وب، مکانیزم‌های سنتی مانند توکن‌های ضد جعل درخواست سمت سرور (Anti-CSRF Tokens) یا کوکی‌های SameSite به تنهایی برای مقابله با حملات پیشرفته کافی نیستند. مشخصه Fetch Metadata HTTP Request Headers که از سال ۲۰۱۹ توسط W3C معرفی شده و در سال‌های اخیر به پختگی کامل رسیده است، چارچوبی نوین ارائه می‌دهد. در این چارچوب، مرورگر همراه با هر درخواست HTTP، متاداده‌هایی شامل مبدأ، هدف و نحوه شکل‌گیری درخواست ارسال می‌کند. این مقاله به بررسی ساختار و کاربرد ۴ هدر اصلی یعنی Sec-Fetch-Site ،Sec-Fetch-Dest ،Sec-Fetch-Mode و Sec-Fetch-User می‌پردازد. همچنین، نحوه پیاده‌سازی سیاست جداسازی منابع (Resource Isolation Policy) و چرایی اهمیت این مشخصه برای توسعه‌دهندگان مایکروسافت NET 11. و ASP.NET Core تحلیل شده است.

ویژگی حیاتی: هدرهای Fetch Metadata توسط مرورگر به صورت خودکار و سطح پایین (Low-level) تنظیم می‌شوند و به‌هیچ‌عنوان از طریق APIهای جاوااسکریپت (مانند fetch یا Axios) قابل تغییر یا دستکاری نیستند. بنابراین، اطلاعات دریافت شده در سمت سرور صددرصد قابل اعتماد (Trusted) هستند.

[ HTTP Request Headers ]
 ├── Sec-Fetch-Dest : مقصد پاسخ (image, script, document, ...)
 ├── Sec-Fetch-Site : رابطه مبدأ و مقصد (same-origin, cross-site, ...)
 ├── Sec-Fetch-Mode : حالت درخواست (navigate, cors, no-cors, ...)
 └── Sec-Fetch-User : نقش مستقیم کاربر در شروع درخواست (?1)

• document: درخواست ناشی از ناوبری سطح بالا (Top-level Navigation) است (مثل کلیک روی لینک یا وارد کردن URL در آدرس‌بار) و صفحه فعلی را جایگزین می‌کند.
• empty: درخواست مقصد تجسمی در HTML ندارد. معمولاً توسط فراخوانی‌های fetch()، XMLHttpRequest یا WebSocket ایجاد می‌شود.
• image: پاسخ به عنوان تصویر استفاده خواهد شد (تگ <img>، تصویر پس‌زمینه در CSS و...).
• سایر مقادیر رایج: script ،style ،font ،iframe ،audio ،video ،worker.

کاربرد امنیتی: اگر سرور درخواستی برای یک فایل حساسی مانند json. یا js. دریافت کند اما هدر Sec-Fetch-Dest مقدار image داشته باشد، مشخص است که درخواستی غیرعادی (احتمالاً یک حمله) در جریان است و سرور می‌تواند بلافاصله آن را مسدود کند.

• same-origin: مبدأ و مقصد کاملاً یکسان هستند (پروتکل، دامنه، زیردامنه و پورت یکسان).
• same-site: پروتکل و دامنه یکسان هستند، اما ممکن است زیردامنه یا پورت متفاوت باشد.
• cross-site: مبدأ و مقصد از دو سایت کاملاً متفاوت هستند.
• none: درخواست تعاملی نبوده و از صفحه‌ای دیگر شروع نشده است (مانند تایپ مستقیم URL یا باز کردن از Bookmark).

• navigate: برای درخواست‌های ناوبری بین صفحات HTML استفاده می‌شود.
• same-origin: درخواست‌های درون‌برنامه‌ای که نیاز به CORS ندارند.
• cors: درخواست‌های Cross-Origin که با استاندارد CORS ارسال می‌شوند. پاسخ تنها در صورت وجود هدرهای Access-Control-Allow-Origin توسط جاوااسکریپت قابل خواندن است.
• no-cors: درخواست‌های Cross-Origin ساده (مانند بارگذاری تصویر یا استایل). مرورگر اجازه خواندن پاسخ را به جاوااسکریپت نمی‌دهد (پاسخ Opaque یا کدر است).
• websocket: درخواست برای برقراری ارتباط WebSocket.

نکته تکمیلی: هنگامی که مرورگر یک تگ img را بارگذاری می‌کند، درخواست در حالت no-cors ارسال می‌شود. سرور اگر بداند یک API حساس (مثلاً /api/delete-user) فقط باید از طریق JS و حالت cors فراخوانی شود، اما درخواستی با حالت no-cors برای آن بیاید، می‌تواند آن را فوراً رد کند.

Sec-Fetch-Dest: document
Sec-Fetch-Mode: navigate
Sec-Fetch-Site: none
Sec-Fetch-User: ?1

Sec-Fetch-Dest: style
Sec-Fetch-Mode: same-origin
Sec-Fetch-Site: same-origin

Sec-Fetch-Dest: image
Sec-Fetch-Mode: no-cors
Sec-Fetch-Site: cross-site

Sec-Fetch-Dest: empty
Sec-Fetch-Mode: cors
Sec-Fetch-Site: cross-site

[ ورود درخواست به سرور ]
        │
        ├── آیا Sec-Fetch-Site برابر same-origin یا same-site یا none است؟
        │     ├── بله ──> [ مجاز ]
        │     └── خیر ──> آیا یک ناوبری سطح بالا است؟ (Dest=document AND Mode=navigate AND Method=GET)
        │                   ├── بله ──> [ مجاز (کاربر روی لینک کلیک کرده) ]
        │                   └── خیر ──> [ مسدودسازی (درخواست Cross-Site غیرمجاز) ]

• نیاز به رندر توکن در فرم‌های HTML و ارسال آن در هدرها وجود داشت.
• مشکلات انقضای توکن یا چالش‌های Caching رخ می‌داد.

public class FetchMetadataValidationMiddleware
{
    private readonly RequestDelegate _next;

    public FetchMetadataValidationMiddleware(RequestDelegate next)
    {
        _next = next;
    }

    public async Task InvokeAsync(HttpContext context)
    {
        var request = context.Request;

        // اگر هدر وجود نداشته باشد (مرورگرهای بسیار قدیمی)، اجازه عبور می‌دهیم یا طبق سیاست برخورد می‌کنیم
        if (request.Headers.TryGetValue("Sec-Fetch-Site", out var siteValues))
        {
            var site = siteValues.ToString();

            // ۱. درخواست‌های درون‌برنامه‌ای یا آدرس‌بار همیشه مجاز هستند
            if (site is "same-origin" or "same-site" or "none")
            {
                await _next(context);
                return;
            }

            // ۲. درخواست‌های Cross-Site فقط در صورتی مجاز هستند که ناوبری ساده GET باشند
            var dest = request.Headers["Sec-Fetch-Dest"].ToString();
            var mode = request.Headers["Sec-Fetch-Mode"].ToString();

            bool isTopLevelNavigation = HttpMethods.IsGet(request.Method) 
                                     && dest == "document" 
                                     && mode == "navigate";

            if (!isTopLevelNavigation)
            {
                // مسدودسازی درخواست‌های مشکوک Cross-Site (مثل POST از سایت دیگر)
                context.Response.StatusCode = StatusCodes.Status403Forbidden;
                await context.Response.WriteAsync("Cross-Site Request Blocked by Fetch Metadata Policy.");
                return;
            }
        }

        await _next(context);
    }
}