OWASP说你不应该";向客户端发送原始响应"

Question

• 不要向客户端发送原始响应

https://owasp.org/Top10/A10_2021-Server-Side_Request_Forgery_%28SSRF%29/

这是指什么？我试着在谷歌上搜索，但我能找到的都是"原始"，比如全文或字符串。从这个意义上说，不是所有的HTTP响应都是"原始的"吗，因为它是基于文本的？

或者这意味着编辑响应以给出关于服务器的假值，而不是真值？

Answer 1

我很确定，这意味着您不应该将从第三方(例如API(收到的响应直接发送给最终用户。

如果你这样做，它可能会向攻击者提供敏感信息，或者可能进一步暴露你的应用程序的信息。