php - 保护/验证对服务器的 JSON 请求

Question

我正在使用 Ajax 将 JSON 数据发送到我的服务器以供 php 脚本解析。

例如，这是将输出的 JSON: http://myserver.com/parse.php?user=123&point=100&callback ......

“parse.php”脚本将获取 URL 中的点并将其提供给用户 ID 存储在 user=123 中的用户。

但是，如果一个人直接在浏览器上使用“http://myserver.com/parse.php?user=123&point=100&callback......”而不让我的javascript启动它，他们可以欺骗他们的浏览器点 ，他们可以在 URL 中将其设置为任意数量。

那么我如何保护/验证 JSON 请求？

Answer 1

如果您通过 AJAX 请求或类似的客户端方式传递用户点，那么您根本无法保护您的应用程序免受作弊。您的用户告诉脚本他/她得了 100 分，您如何确定这是一个公平的数字？传递您用于计算分数的初始数据，例如问题的有效答案或您正在衡量的任何内容。

如果您的应用程序中有登录机制，则可以在执行脚本时检查服务器端的有效凭据，而无需通过 GET/POST 实际传递用户标识符.

最后，在您的方法中，您可以检查 AJAX header 和引荐来源网址($_SERVER['HTTP_X_REQUESTED_WITH'] 和 $_SERVER['HTTP_REFERER'])确保请求来自您的 JS 代码，但这实际上只是一个很容易被破坏的小调整。此外，并非每个浏览器都会传递引用 header (取决于隐私设置)，因此可能会出现进一步的问题。