javascript - 只允许授权的 AJAX 请求

Question

简化:在我的 JS/PHP 应用程序中，我有一个按钮。当用户单击按钮时，他将获得 1 分，该分通过 jQuery AJAX/PHP 保存在数据库中。

当然，用户现在可以调用发出 AJAX 请求的脚本，而无需单击按钮。有什么最佳实践可以避免这种情况吗？

我使用 AJAx 因为我不想重新加载页面。

更新:用户赚取积分的方式还有很多其他选择。理想情况下，我会有一个 JS 函数 add_points(points) 为用户添加积分。但我知道任何人都可以编写脚本来自动调用这个函数。我想唯一的方法是为每个可能的积分操作生成一个哈希值，并通过 AJAX 请求提交这个哈希值。

Answer 1

您可以做的一件事是生成一个散列，并检查该散列是否是新的或在最后一天没有使用过。例如，确保用户必须获得新的散列才能按下按钮。