做一个Ajax Handler，需要问一些安全问题答案

【问题标题】：Making an Ajax Handler, need to ask some security questions做一个Ajax Handler，需要问一些安全问题
【发布时间】：2019-04-13 23:48:47
【问题描述】：

我有一个网站，登录的用户可以关注其他用户，每个用户都存储在一个 MySQL 数据库中，在这个数据库中有一个包含每个用户会话的表，当用户登录时，它会生成一个唯一的会话 ID用于该设备并将其作为 cookie 存储在用户浏览器中。

当用户单击网页上的 HTML 按钮以关注另一个用户时，我希望它向我正在制作的这个 PHP 文件发送一个 javascript XMLHttpRequest，但是我不确定目前要采取什么样的安全措施我需要关注/取消关注的用户 ID 以及登录用户的唯一会话 id cookie 值。

基本上，这个带有唯一 id 的“cookie”/会话，我想知道它是否足以进行 ajax 调用，它有点像 REST API，但是，它可以在方法时通过 PHP 对数据库进行更改是 POST。

如果您对此有任何可能的问题，请告诉我，我将不胜感激，如果有人对制作此类 Ajax API 有任何提示，请告诉我。

干杯！

【问题讨论】：

【解决方案1】：

虽然 ajax 请求具有会话 ID，并且用户在会话中登录，但接受该请求以更改普通用户可能执行的操作是安全的。请记住所有其他安全问题，如通常的请求或 ajax，不管是对 db 或其他的更改，所以一切都仅限于用户功能，然后它是安全的。

【讨论】：