php - 验证客户端 JavaScript 事件的最佳方法

Question

所以我有一个 JavaScript 和 php Web 应用程序。在我的应用程序中，有时 JavaScript 会调用创建帖子的 POST 请求。我想知道验证我的请求以防止任何人访问该 URL 的最佳方法是什么。它不需要那么灵活。我不会拥有多个应用程序。我只需要 php 和 JavaScript 的单一案例解决方案。

编辑:第二个问题。仅确保请求来自 URL 就足够了吗？

Answer 1

你不能。

您可以执行诸如在来自 JavaScript 的请求中添加额外 header 之类的操作，但由于您必须向浏览器发送有关如何执行此操作的说明，因此任何人都可以读取它们并复制它们以用于自己的自定义构建非 JS 请求。

在 WWW 上，您可以对人员进行身份验证(使用凭据)，但无法对客户端进行身份验证(除非您在编译的 bundle 中提供客户端软件……即使这并不可靠，官方 Twitter 客户端身份验证 key 也已发布)现在在野外)。

Is just making sure the URL the request is coming from enough?

如果您的意思是“检查引用 header ”，那么不行。这是由客户端设置的，客户端可以将其设置为他们喜欢的任何内容。