我使用我的 PHP 后端通过检查 $_SERVER['HTTP_X_REQUESTED_WITH'] 中的值来检测 AJAX 请求。
这为我提供了可靠的检测，确保使用 AJAX 技术发出请求。
如何确保请求来自我自己的域，而不是外部域/机器人？
www.example.com/ajax?true 可以允许任何人进行 AJAX 调用并剪切信息。
我可以为正常进入我网站的每个人创建会话，然后允许 AJAX 调用..但这也可以伪造。
这些天还重要吗？
【问题讨论】：
使用 google recaptcha...它为您的 Ajax 生成一个令牌，然后在服务器端您可以验证该令牌...
【讨论】：
您可以检查 HTTP_REFERRER，但并非所有浏览器都设置它。最好的方法是在 JavaScript 端为你的 ajax 调用编写一个包装器，它将 document.cookie 的一部分发送回服务器——只有你的域可以访问 cookie。您可以将请求标头中的 cookie 与 php 中的 AJAX 调用中的 cookie 进行比较。
回应“这几天有没有关系”——是的，有关系！ Read this.
【讨论】：
使用 POST 会话安全请求：
在网页内部（例如 index.php）我们需要存储 sessionid
<?php
// Create Session
$session = session_id();
if(empty($session)) session_start();
?>
<head>
...
<script type="text/javascript">
sid = '<?php echo session_id(); ?>';
</script>
<script type="text/javascript" src="ajaxrequest.js"></script>
...
</head>
ajax 请求 (ajaxrequest.js)
/* simple getAjax function
* @param $url request url
* @param $param parameter (dont use ?)
* @param callback function on success
*/
var spinnerid = '#spinner'; // Spinner as long ajax requests running
$(document).ajaxStart(function() { $(spinnerid).show(); });
$(document).ajaxStop(function() { $(spinnerid).hide(); });
function getAjax( url, param, callback ) {
var data = null;
url += "?sid=" + sid + "&" + param;
$.ajax({
url: url,
method: "POST", // uncomment to use GET, POST is secured by session
cache: false,
async: true,
success : function(data){
callback(data);
},
}
getAjax( 'http://domain.com/', 'data=foo', function( data ) {
// do stuf with data
var jsonobj = eval("(" + data + ")");
var data = jsonobj[0][ 'data' ];
});
负责的php端：
if( isset( $_GET['sid'] ) ) $client_sid = $_GET['sid'];
if( session_id() == null ) session_start();
if( session_id() != $client_sid ) {
// noID or wrongID, redirect to mainindex
ignore_user_abort(true);
header( "HTTP/1.1 403 Forbidden" );
header("Connection: close", true);
exit;
} else {
// get data
if( isset( $_GET['data'] ) ) {
$data = $_GET['data'];
} else if( isset( $_POST['data'] ) ) {
$data = $_POST['data'];
} else {
$data = null;
}
// do stuff with data
// return data as json
$resp[0]['data'] = $data;
print_r( json_encode( $resp ) );
}
【讨论】：
关于您的最后一个问题：“现在还重要吗？” 这是一个个案问题。如果 ajax 请求正在做一些不需要安全性的事情（例如加载最新的股票报价），那么恕我直言，这真的无关紧要。如果请求正在加载应该保护的信息（例如返回识别信息或在服务器上执行某些操作），那么您应该这样对待它。
我个人不使用服务器变量来知道什么时候是 ajax 请求。相反，我只是在 ajax 调用中添加一个查询参数（例如http://domain.com/?ajax=true）。如果我需要保护 ajax 调用，那么我将使用与保护常规页面请求相同的方法（同时使用客户端和服务器）。正如卢卡斯·阿曼（Lucas Oman）所指出的，客户端的任何东西都可以伪造。底线不要相信任何请求，即使您认为它来自您的站点或数据库。始终遵循口头禅“过滤输入 - 转义输出”。
【讨论】：
确实，最安全的方法是按照您的建议使用服务器端会话，因为这些会话无法像 cookie 那样制作。
当然，仍然有人可以劫持会话 ID，但是如果您还将用户的 IP 地址存储在他们的会话中并在每次请求时检查它，您就可以清除很多劫持。只有同一 LAN 或代理上的人才能劫持它。
提到的任何其他方法——cookies、javascript、http referer——依赖于客户端数据，这是不安全的，应该始终怀疑是假的、伪造的、劫持的和恶意构建的。
【讨论】：
让你控制
在你看来
回到你的控制器
检查这些安全guidelines from OpenAjax。
另外，请阅读有关 codinghorror.com Annie 链接的文章。
【讨论】：
大卫沃尔什有一个很好的solution
/* decide what the content should be up here .... */
$content = get_content(); //generic function;
/* AJAX check */
if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') {
/* special ajax here */
die($content);
}
/* not ajax, do more.... */
【讨论】：
检查$_SERVER['HTTP_REFERER']。这在许多情况下都有效，但不应与完全安全的解决方案混淆。
【讨论】：