保护接收 AJAX POST 和 GET 请求的 PHP 页面 [关闭]

Question

我有一个应用程序，其中我有一个类文件来处理我所有的 ajax POST 和 GET 请求。

• ajax.class.php

任何人都可以推荐一种解决方案来阻止该页面接收任何恶意或未经授权的请求。我已经在使用 PDO 准备好的语句，并且还使用 PurifyHTML 类来清理一些包含 HTML 的用户输入。我主要担心有人查看我的源代码并看到我所有的表单操作都设置为“/classes/ajax.class.php”，然后尝试向它发送不需要的请求。

if($_GET['ajax'] == 'callerIdInfo'){
    $number = $_GET['number'];
    ... [RECORD TO DB]
}

if($_POST['ajax'] == 'submitTicket'){
   ... [MORE FUNCTIONS]
}

etc etc..

Answer 1

你可以让事情变得简单。

您可以在您的应用程序中定义一个强加密密钥：

define('TOKEN_KEY', '%b&*0D0/V%)^l76L_O4(eWm6R&tv3^d916PV+"m_}te8On8L0a4-bd1');

例如，将其放在config.php 文件中

include('config.php');
try {

    $token = $_POST['token'];
    if ($_POST['token']!==TOKEN_KEY) {
        throw new Exception('You Are not autorized '.$token);
    }

    //continue execution
    include('/classes/ajax.class.php');


} catch (Exception $e) {
    error_log('Error!',  $e->getMessage(), "\n");
    //stop execution exit 
}

因此，您可以实现类似上面的内容，但非常简单，而不仅仅是生成一个会话并检查它是否为空。

您可以将逻辑包装到函数中

function get_token() {
    return TOKEN_KEY;
}


function token_isvalid($token) {
    return $token===TOKEN_KEY;
}

用法

    if (!token_isvalid($_POST['token'])) {
        throw new Exception('Division by zero.');
    }

Answer 2

我将此函数添加到我的主类中：

function generateToken() {

    if(empty($_SESSION['form']['token']))
        $_SESSION['form']['token'] = md5(uniqid(mt_rand(),true));

}

然后将其添加到我的表单中并为每个表单生成一个隐藏令牌。

<input type="hidden" name="token" value="<?php echo $_SESSION['form']['token']; ?>"/>

然后检查每个请求中的令牌

if (empty($_POST['token'])){
  return false;
} else {
    // Do AJAX
    if($_POST['ajax'] == 'submitTicket'){
    ... 
    }

}