php - 在 PHP 中检测 Ajax 并确保请求来 self 自己的网站

Question

我使用我的 PHP 后端通过检查 $_SERVER['HTTP_X_REQUESTED_WITH'] 中的值来检测 AJAX 请求。

这为我提供了可靠的检测，确保请求是使用 AJAX 技术发出的。

如何确保请求来 self 自己的域，而不是外部域/机器人？

www.example.com/ajax?true 可以允许任何人进行 AJAX 调用并剪切信息。

我可以为正常进入我网站的每个人创建 session ，然后允许 AJAX 调用......但这也可以被伪造。

现在这还重要吗？

Answer 1

让你控制

• 生成访问 token
• 存储在 session 中供以后比较

在你看来

• 将访问 token 声明为 JS 变量
• 随每个请求发送 token

回到你的 Controller

• 验证 HTTP_X_REQUESTED_WITH
• 验证 token

检查这些安全性 guidelines from OpenAjax .
另外，请阅读 Annie 链接的 codinghorror.com 上的文章。