1

Если в папку c инклудами кинуть .htaccess deny from all то JS, также не могут вытянуть его оттуда. Как правильно организовать защиту?

Точнее как защитить те файлы которые вызываются посредством AJAX запроса. Чтобы через сайт можно было вызвать страницу а напрямик выдавало что ошибка либо редирект поставить..

3
  • 1
    А чего это JS у вас тянут оттуда php-шные includы? Разнести по папкам то, что нужно клиенту (JS) и серверу (.php) трудно?
    – Ali
    18 сен 2011 в 10:52
  • Тянут они странички для AJAX но я не хочу чтобы к ним можно было обратится напрямую. 18 сен 2011 в 11:42
  • Обращайтесь через скрипт. Пусть он только инициализирует нужные вам переменные (например, для защиты скриптов как в Джумле), а потом подтягивает запрошенный файл.
    – ling
    18 сен 2011 в 13:19

3 ответа 3

1

Права на файлы, вызываемые AJAX'ом, поставьте 644

9
  • 3
    Как вариант, можно ajax запросом передавать переменную(test), неважно какую, а в файле-обработчике запроса делать так: if (!isset($_POST['test'])) exit();
    – DemoS
    18 сен 2011 в 18:54
  • 1
    А вот это вариант очень хороший! 18 сен 2011 в 19:36
  • 3
    Ну тогда "Принять ответ!" и будьте здоровы! %)
    – DemoS
    18 сен 2011 в 19:38
  • 1
    Да идеально. как сам не допер если можно через defined защитить инклуды то и здесь аналогично. Зачет! 18 сен 2011 в 19:53
  • 2
    Ну вот. И человек теперь уверен, что он надежно защитился. Как будто нельзя подделать post-запрос.
    – Ali
    18 сен 2011 в 20:07
0

Вызывая include-файл, прежде проверьте DEFINE. Например, аякс-запрос делайте к файлу index.php, а в index.php за-define-те переменную.

index.php

<?php
define ('DEFTEST', true);
....
?>

в иклюд файлах проверяйте DEFTEST:

<?php
 if (!defined("DEFTEST")) die("Access denied!");
....
?>
1
  • Нет это не канает для AJAX. для простых инклудов работает если вызывать через ajax будет die 19 сен 2011 в 7:13
0

Можно все include поместить в отдельную директорию и закинуть в нее .htaccess (deny from all). А для их использования через Ajax, создать отдельный роутер в корне (ajax.php), который сам будет отправлять и получать данные от обработчиков в include.

4
  • А здесь получается оброботчик ajax.php будет получать POST донные и в зависимости от них инклудить в себя нужные файлы. Если я правильно понял то тут также можно подделать POST запрос. 19 сен 2011 в 7:21
  • Ваш вопрос звучит "Как защитить файл include от прямого вызова?" - это действие полностью выполняется. >то также можно подделать POST запрос Его и в обычном вызове можно подделать! Все нужно проверять на корректность, в нашем случае либо в роутере либо в файлах инклюда.
    – tyz
    19 сен 2011 в 7:25
  • Ну так за этим и спрашиваю! Буду очень признателен посмотреть пример или почитать если скините ссылку. 19 сен 2011 в 7:35
  • Данные на корректность проверяются просто: Чаще всего это либо числовые либо текстовые. числовые - вырезка всего что не число, если передаются заранее известные числа, то проверить и ошибка если число не то. строковые - вырезка тегов и всяких других не нужных вам символов. Так же проверка адреса с которого был отправлен запрос.
    – tyz
    19 сен 2011 в 8:03

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge you have read our privacy policy.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.