Я параноик и для обеспечения дополнительной безопасности ajax запросов делаю следующее:
- При заходе на страницу у пользователя генерируется сессия sshID в которую добавляется случайный sha1 хэш, хэш также сохраняется в переменную
- Вместе с любым ajax запросом отправляется эта переменная
- На сервере в каждом ajax скрипте проверяется соответствие полученной переменной _POST['sID'] с тем, что записано в сессию - sshID
Если значения совпадают - всё отлично, выполняем скрипт. Если нет - то сразу выкидываем пользователя. Я понимаю, что это весьма посредственная защита, но всё же, мне приятно, что любой кто просто попытается вызвать скрипт по адресу /ajax/название_скрипта.php будет отправлен куда подальше.
Проблема возникает в связи с тем, что сессии время от времени очищаются. Да, я могу поставить время жизни сессий около 24 часов и вероятность того, что кто-то просидит на сайте 24 часа, не обновит страницу, а потом решит отправить ajax запрос - "крайне мала" (Immolate Improved!), но, она есть.
Какие есть варианты выхода из этой проблемы? И может есть альтернативные пути как можно обезопасить свои скрипты от прямого доступа?
sshID
, а затем передает его вместе сajax
-запросом. В итоге ваша защита всего лишь на пару минут оттягивает прямое обращение к вашему скрипту. Поэтому может быть не стоит так уж панически ко всему относиться?