PHP отключить выполнение из браузера

Question

Мой сайт такой, что пользователь открывает его и запускает index.php, а в index.php существует много вызовов ajax для других php-скриптов в том же каталоге сервера, что и index.php. Теперь я использую post, но если пользователь узнает адреса этих других скриптов (например, из правого щелчка ---> просмотра страницы источника), то он может запускать эти сценарии в своем браузере, что может привести к неудобствам (например, иногда вызывает пустую записи, которые нужно вставить в базу данных, просто пример). Итак, как мне отключить выполнение php этих скриптов из браузера, но ajax может их назвать?

Answer 1

Вы не можете, по крайней мере, не надежно (вы можете использовать JavaScript для добавления дополнительных заголовков запросов, например, но пользователь может наблюдать эти запросы и добавлять сами заголовки).

Проверьте, что представленные данные являются нормальными. Если появится сообщение о добавлении пустой записи, отправьте сообщение об ошибке обратно.

Answer 2

вы должны проверить в PHP скрипт, если это Ajax réponse

/* AJAX check */ 
if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) &&  strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') { 
echo 'call from ajax'; //here you have call request by ajax 
} 
else 
{ 
    die("You shouldn't be here"); 
} 

/* not ajax, do more.... * 

Source of code

Большинство известных библиотек JS использовать этот заголовок. Если вы не используете библиотеку, вы можете установить этот заголовок самостоятельно.

var req = new XMLHttpRequest(); 
req.setRequestHeader("HTTP_X_REQUESTED_WITH", "xmlhttprequest"); 

Эти заголовки могут быть установлены, когда злоумышленник трамбовки данные, но для общего парня, который хочет получить доступ к странице будет показывать «Вы не должны быть здесь» сообщение через веб-браузер.

Answer 3

Вот что я использую, чтобы обнаружить AJAX запросы:

function isAjax() 
{ 
    /* AJAX check */ 
    return (!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest'); 
} 

Пожалуйста, обратите внимание, что это не гарантирует обнаружение и может только помочь стойло заблудших пользователей, не определены нападавших.