4

Подскажите необходимые действия для того, чтобы к файлу, обрабатывающему AJAX-запросы, могли обращаться и получать ответы от него только клиенты сайта. При этом авторизации на сайте не предусмотрено.

Как с помощью PHP запретить обращение к файлу через AJAX с других сайтов, скриптов и прочих программ, но при этом оставить возможность доступа для браузера клиента?

Как правильно и эффективно применить сессии, чтобы ограничить получение запроса в файл?

1
  • Если вам дан исчерпывающий ответ, отметьте его как верный (галка напротив выбранного ответа). 1 окт 2015 в 13:53

2 ответа 2

9

Как защитить файл-обработчик от сторонних ajax запросов

Никак.

Я ищу новые методы.

Их нет.

Самым подходящим сейчас считаю сессии

Это очень смешная идея. Рекомендую почитать про сессии:

помните, что сессии можно применять только тогда, когда они нужны самому пользователю, а не для того, чтобы чинить ему препятствия. Ведь он в любой момент может избавиться от идентификатора! Скажем, при проверке на то, что заполняет форму человек, а не скрипт, пользователь сам заинтересован в том, чтобы сессия работала - иначе он не сможет отправить форму! А вот для ограничения количества запросов к скрипту сессия уже не годится - злонамеренный скрипт просто не будет возвращать идентификатор.

Следует понимать, что "весь мир" такой ерундой не занимается. Никто никогда не занимается "защитой от посторонних запросов". Чтобы это понять, надо изначально представлять себе базовые принципы функционирования веб сайтов

  • Для сайта любой запрос является "посторонним". Сайт находится на сервере, а запросы к нему приходят от клиента. Для сервера нет "своих" и "чужих" клиентов, они все на одно лицо. Да, сервер может пометить определенного клиента с помощью куки, и отличать от дургих. Но, как говорилось выше, для защиты это делать бессмысленно.
  • Для сервера нет ни малейшей разницы, аяксом к нему пришел запрос, или не аяксом. Для сервера это абсолютно один и тот же НТТР запрос. Поэтому от "аякс запросов" специально никто не защищается. Защищают кнопки от неавторизованного использования, с помощью обычной авторизации и прав доступа. То есть, если есть у пользователя право на кнопку нажать - его запрос обрабатывается. Нет прав - не обрабатывается. А аяксом этот запрос пришел, или голубиная почта принесла - серверу без разницы.

Защититься от стороннего "парсинга" также невозмжно. Если кто-то захочет спарсить ваш контент - он попросту придет сюда, на Stack Overflow по-русски, даст ссылку на ваш сайт и попросит код, который будет доставать инфу с него. И этот код ему радостно напишут. К сожалению, вопросы этики и морали занимают программистов в последнюю очередь, а это, увы, единственные преграды, которые стоят в сети перед желанием взять чужое без спросу.

4
  • Но ведь так не бывает! Весь мир применяет эту технологию и у некоторых сайтов есть кнопки удаления какой-либо то информации с применением ajax запросов. Ведь каким-то образом они защищают свои файлы от посторонних запросов 1 окт 2015 в 9:47
  • "Весь мир" не пытается усидеть на двух стульях, и "защищать кнопки" при том что "авторизации не предусмотрено". 1 окт 2015 в 10:09
  • Довольно развёрнутый ответ. Спасибо! А как тогда сделать, чтобы сторонний сайт не использовал мои файлы (предназначенные для ajax) в своих целях, то есть запрашивал информацию у моего сайта и выдавал её у себя? 1 окт 2015 в 10:45
  • Хорошо, тогда зачем для подобных целей применяют токен. Получается, что он защищает только от csrf!? Может быть есть способы использовать токен, для ограничения запросов через аякс, не вкладывая его в код страницы или печеньку? 1 окт 2015 в 11:35
4

К сожалению, нет однозначного способа предотвратить такие запросы. Обычно в таких случаев перед тем, как отдать опасный JS клиенту, генерируют какой-нибудь access_token, чтобы потом сопоставить его с последующим запросом клиента. Любой современный веб-фреймворк предоставляет простой способ сделать это.

На английском Stack Overflow есть несколько вариантов проверок: раз, два. Но они не могут ничего гарантировать

Вообще, гуглите cross-domain ajax requests и еще почитайте про Cross-origin resource sharing

4
  • Защита по кросс-доменным запросам наверное не поможет, если обработчик будут дергать с другого сервера, а не с браузера пользователя.
    – Visman
    1 окт 2015 в 8:14
  • Да, об этом и речь, поэтому если надо запретить кому-то доступ к скрипту, то без какой-либо авторизации или хотя бы токена не обойтись.
    – valignatev
    1 окт 2015 в 8:18
  • От cors толку мало, проверять заголовки тоже нет смысла - они легко подделываются. От токена есть смысл, но ведь его всегда можно найти в исходном коде страницы, вставить в свой запрос и затем спокойно получать заново сгенерированный токен и производить запросы. Это я все уже пробовал и использовал. Я ищу новые методы. Крупные проекты как-то ограничивают эти запросы. Самым подходящим сейчас считаю сессии, но вот как правильно и эффективно ее применить, чтобы ограничить получение запроса в файл? 1 окт 2015 в 8:47
  • @Михаил тогда никак. Везде, абсолютно везде, даже на любом крупном проекте можно откуда-нибудь вытащить этот самый токен или эту самую сессию и использовать его как угодно.
    – andreymal
    1 окт 2015 в 9:56

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.