javascript - 最佳实践 : How to authenticate/authorize AJAX Calls on the server

Question

最近几天我想知道它是怎么做到的？您如何验证/授权允许用户通过 AJAX 请求数据。

目前我正在使用 SESSIONS 进行身份验证。但这只是一个很小的保护措施。

假设我有一些名为 addUserToGroup($user_id,$group_id) 的函数，它通过以下方式调用

EXAMPLE: www.mysite.com/addUserToGroup/1/2  ( user_id = 1 , group_id = 2 )

如何检查这个用户是否真的被允许加入 group_id=2？每个人都可以将数据发布到我的服务器...

我找到的一个解决方案是使用 jcryption(公钥/私钥方法)。但我认为，必须有一种更简单的方法来检查是否允许 user_id = 1 加入 group_id = 2。

提前致谢!

Answer 1

向用户表添加一个额外字段:is_allowed_to_join_2 int(1)

当此人登录时，设置

$_SESSION['is_allowed_to_join_2'] = $user['is_allowed_to_join_2'] == 1 ? true : false;

在 ajax 调用中，在您的 php 代码中:

if( $_SESSION['is_allowed_to_join_2'] !== true )
{
  exit("Not allowed");
}