对 PHP 文件的 AJAX 请求、PHP 文件的安全性和可访问性

Question

我有一个小的 AJAX 脚本，它将 GET 变量传递给接收的 PHP 文件，我们称之为AJAX_RECEIVER.php。

此文件执行数据库查询，并根据 GET key-value 对返回一个 responseText，然后将其输入 HTML 元素。

我有一些问题

1）如何防止有人通过在浏览器的URL中输入这个AJAX_RECEIVER.php文件来随机访问它？

2) 我如何确保只有“有效”登录用户才能从AJAX_RECEIVER.php 获得有意义的响应？ 文件

3) 如何使用 POST 将键值对传递给此 AJAX_RECEIVER.php？

4) 我想我可以将会话变量的值设置为表示有效用户已登录的值，并使用 POST 将其传递给 AJAX_RECEIVER.php，它会进行检查并仅返回合法的值一个有效的用户，我只是有点不确定这是否是最好的方法……还是有其他方法？

很抱歉，如果我的问题听起来有点重复或可能已在其他地方得到解答，我们将不胜感激。 附言我不想使用 JQUERY（对 Javascript 非常满意，如果我可以用简单的 Javascript 做同样的事情，我不想再花几天时间学习另一件事）

Answer 1

如何防止有人通过在浏览器的 URL 中输入这个 AJAX_RECEIVER.php 文件来随机访问它？

你不能。

如何确保只有“有效”登录用户才能从 AJAX_RECEIVER.php 获得有意义的响应？

这与确保只有有效的登录用户才能从任何其他 PHP 程序获得有意义的响应的方式相同。 （大概，您正在使用某种基于会话的身份验证，使用它）。

如何使用 POST 将键值对传递给此 AJAX_RECEIVER.php？

有很多方法。将FormData 对象传递给fetch 可能是最简单的。

var formData = new FormData(document.querySelector("form"));
fetch('/AJAX_RECEIVER.php', {
  method: 'POST',
  body: formData
});

我想我可以将会话变量的值设置为 表示有效用户已登录，

这就是大多数登录系统的工作方式

并使用 POST 将其传递给 AJAX_RECEIVER.php

只需继续使用相同的会话 cookie 来传递 数据。不要将其复制到发布请求的正文中。这样可以很容易地伪造登录状态。