jquery - 如何保护ajax在没有登录的情况下被使用？

Question

如果我有一个带有登录和 session 管理的网站，页面使用ajax向服务器端发送表单数据。

我如何防止任何人只保存 HTML 和 JavaScript，从而完全绕过登录和 session 管理？

您是否在成功登录时生成一个 token ，并将其与 JSON 字符串一起发送，以便服务器端脚本可以对此进行检查？

如果是这样，是否存在我可以直接使用的解决方案，这样我就不必自己编写它们了？

我对 Djando 和 ROR 解决方案都很感兴趣，因为我现在正在尝试这两种解决方案。

Answer 1

您应该在服务器上实现登录。 AJAX 请求与常规请求存在于同一 session 中，因此如果有人登录，他们也会为 AJAX 请求登录。如果用户未登录，您也可以检查 AJAX 请求。检查服务器是否有用户登录，如果没有登录则返回错误代码。

服务器永远不应该依赖客户端来告诉它是否有人登录。唯一要使用的客户端数据是 session token ，如果你想更安全的话，还要结合 IP 地址。