如何将 php 文件设置为只为 AJAX 服务？ [复制]答案

【问题标题】：How to set php file to only serve for AJAX? [duplicate]如何将 php 文件设置为只为 AJAX 服务？ [复制]
【发布时间】：2013-06-19 22:59:46
【问题描述】：

我有一个在很多地方都使用 AJAX 调用的网站，他们都调用一个文件，称为ajax_agent.php 并使用 GET 变量，例如 ajax_agent.php?action=x&arg1=y&etc=true

但讨厌的用户可以直接使用自定义变量访问 ajax_agent.php。它使用准备好的 PDO 语句，所以我猜没有 sql 注入的危险，但它仍然可以揭示它不应该的东西。

那么有什么方法可以检测客户端是另一个 php 页面（AJAX 处理它）还是实际的浏览器窗口？这样它就会die('you don't have permission to see this page.'); ?

谢谢！

【问题讨论】：

【解决方案1】：

AJAX 请求与其他请求一样是 HTTP 请求。请求的任何部分都可能被攻击者操纵。您不能信任它的任何部分，因此检测它是来自浏览器的 Ajax 请求而不是通过浏览器操纵的请求是不可靠的。

如果您真的想保护您的数据，请强制用户登录并使用会话来强制执行。

【讨论】：

【解决方案2】：

您可以尝试使用HTTP_X_REQUESTED_WITH 标头。不过，这取决于您的 javascript（库）是否正确发送了此标头：

if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') {
  // do AJAX only stuff
}

编辑：请注意，正如我在问题 cmets 中所说，如果可以使用 javascript 发出请求，那么它可以由人类发出。没有办法阻止这种情况。这个答案只是提供了一种过滤掉直接访问该页面的普通用户的方法。

【讨论】：