javascript - 防止对 PHP 的虚假循环 ajax 请求

Question

在我的网站上，我为博文创建了评论区。用户可以写评论，点击一个按钮，一个 AJAX 请求将被发送到包含 JSON 数据的 PHP。 PHP 将处理和验证数据，然后将其插入数据库。成功后，将从数据库中检索所有评论，并使用 JQuery 重新加载页面的所有评论。

问题是任何人都可以使用他们的浏览器控制台伪造一个 AJAX 请求，填写他们自己的 JSON，然后将请求发送到 PHP。如果这样做，所有发生的就是我的客户端验证是无用的。服务器端验证仍然有效。然而，还有一个更大的问题。

for(var i = 0; i < 10000; i++) {
    //ajax request
}

用户可以很容易地立即将成千上万条记录插入我的数据库。

有人对我如何防止此类事情发生有什么建议吗？它必须涉及在服务器端创建一些用户无法猜到的东西，并在 AJAX 请求期间以某种方式检查它。我只是不确定该怎么做。

感谢您的帮助。

Answer 1

在这方面确保您安全的唯一方法是添加验证码。

这将防止大量/自动发布。一种可能使用的库是 Securimage .它易于使用和集成。使用 AJAX 工具，您可以在 10 分钟内让它运行起来。

如果可能的话，依赖其他方式(例如 cookie 或某种客户端验证)是有风险的。例如KA_lin的解决方案可以在 5 分钟内遭到破坏:恶意用户可以发送伪造的 cookie，这些 cookie 的页数始终为 0，因此始终可以发布。或者更糟糕的是，他可以创建一个小程序，将在不发送任何 cookie 的情况下发布到您的页面。上面的代码会创建一个新的 cookie 并接受他的帖子，每次...