Запретить прямой доступ к php-файлу, который вызывается в ajax

Question

Я пытаюсь запретить прямой доступ к PHP-файлу, который вызывается для ajax для проверки формы. Код, который у меня есть, работает до тех пор, пока форма не будет проверена, и тогда это не сработает. Я НЕ хочу использовать .htaccess.

Текущий код:

<?php 

$url = strtolower(basename($_SERVER['PHP_SELF'])); // Gets url (parent that uses the include) 
$fil = strtolower(basename(__FILE__)); // gets filename (the included file) 
if ($url == $fil){ 
    // if they are the same (file is accessed through url 
    // redirect to forbidden page 
    header("HTTP/1.0 403 Forbidden"); 
    exit; 
} 
// require my configuration 
require_once("config.php"); 
// code to be executed for ajax validation 
$username = $_POST['username']; 
$conn = mysql_connect(DB_HOST,DB_USER,DB_PASS) or die(mysql_error()); 
mysql_select_db(DB_NAME,$conn) or die(mysql_error()); 

$query = mysql_query("SELECT * FROM " . TB_USER . " WHERE username = '{$username}'",$conn) or die(mysql_error()); 
$result = mysql_num_rows($query); 

mysql_close($conn); 

if ($result == 0){ 
    echo "true"; 
}else{ 
    echo "false"; 
} 
?> 

Если я получить доступ к файлу непосредственно из URL, он перенаправляет как планировалось, но когда форма проверяемого через AJAX, это ничего не делать, если имя пользователя отсутствует. Вывод первых двух строк кода ($ url, $ fil), а также оператор if делает работу проверки ajax, но страница не запрещена при доступе по URL. Любое предложение о том, что делать дальше?

Answer 1

Используйте это:

if(!$_SERVER['HTTP_X_REQUESTED_WITH']) 
{ 
    header("HTTP/1.0 403 Forbidden"); 
    exit; 
} 

Во всех современных браузерах, если доступ к странице с помощью AJAX, PHP добавляет этот заголовок запроса. Если ваша страница вызывается и этот заголовок отсутствует, есть хороший шанс, что он вызывается напрямую (или другой страницей перенаправляется на него через гиперссылку или иначе). В основном это всегда показывает запретную страницу, если эта страница не была вызвана с использованием AJAX.

Answer 2

Нет смысла делать это. Он не добавляет никакой реальной безопасности.

Все заголовки, указывающие, что запрос выполняется через Ajax (например, HTTP_X_REQUESTED_WITH), могут быть скреплены на стороне клиента.

Если ваш Ajax обслуживает конфиденциальные данные или разрешает доступ к конфиденциальным операциям, вам необходимо добавить надлежащую безопасность, например, систему входа в систему.