вызов php скрипта из этого только ajax

Question

Я попытался решить мою проблему, но я даже не знаю, как задать свой вопрос: когда пользователь выполняет одно конкретное событие на моем сайте, я бы хотел вызвать эту функцию, что увеличивает кредит другого пользователя в базе данных mysql:

function incrasecredit(){ 
    $.ajax({ 
    type: "POST", 
    url: "/increasecredit.php", 
    data: {}, 
    success: function(html) { 
    } 
    }); 
    } 

... простой. Проблема состоит в том, что (как указывает имя скрипта), что это событие связано с «кредитной системой»/деньгами. Поэтому я думаю, что это должно быть безопасно. «/increasecredit.php» не должен быть доступен пользователю каким-либо другим способом. Например. просто выполнив его через браузер. Только в этом специальном случае, когда я вызываю его в сценарии jquery. Чтобы быть более точным, когда пользователь нажимает на iframe, должен выполняться incrasecredit(). И ТОЛЬКО в этом случае. Как я могу защитить этот скрипт от неправильного выполнения? Я пытался решить это с помощью токенов, но пока не понял. У меня такое чувство, что я не получаю больше картины. Заранее спасибо.

Answer 1

Вы должны реализовать токены CSRF на своей странице, чтобы проверить, что запрос был создан с вашего сайта через законный механизм. Это сводится к тому, что один только токен должен быть передан с запросом POST, который должен соответствовать маркеру, хранящемуся в cookie сеанса пользователя. Этот токен также должен автоматически истекать через некоторое время.

Кроме того, бэкэнд должен реализовать какой-то ACL для авторизации транзакции. Роль пользователя может быть проверена через сеанс для аутентифицированного пользователя.