Вношу изменения в базе через ajax(post method) на php файл. На данный момент как я понимаю каждый может прислать post запрос на мой php файл и изменить значение в базе. Есть какие-либо варианты сделать работу по обновлению базы через ajax безопасной?
1 ответ
Если в скрипте нет авторизации, то полностью защитить метод не получится. Есть ряд приемов, каждый нацелен на определенный вид атаки. Самое простое - запретить выполнение скрипта через прямой запрос в браузере. Для этого нужно проверить заголовок HTTP_X_REQUESTED_WITH. Далее можно добавить csrf токены в запрос. Сами токены хранить в сессии. Приватная и публичная часть токена хранится в сессии, на странице, с которой осуществляется ajax запрос - только публичная. При обработке запроса две части надо сравнить. Это позволит защитить скрипт от выполнения ботами, которые все-таки смогли авторизоваться в системе.
defined('SEC') || exit;
.