0

На странице есть возможность подгружать контент через ajax с сервера. При этом,как вы знаете, это происходит путем обращения к серверу по url, который указывается в параметрах функции ajax. Вот как распознать на сервере, что запрос пришел именно посредством ajax, а не напрямую? А то ведь в противном случае можно просто вбить в адресную строку url запроса и напрямую обратиться к серверу и получить ответ. Как это предотвратить? Запретить нужно на сервере, ведь на клиенте можно вообще js отключить...

3
  • 1
    POST запрос в адресную строку не вставишь
    – Dmytro
    13 янв 2019 в 9:03
  • При вызове ajax средствами jquery и некоторых других фреймверков они добавляют к запросу заголовок X-Requested-With. Так же вы можете добавлять свои заголовки. Заголовки невозможно задать при обращении из обычного браузера через адресную строку. НО надо понимать, что помимо адресной строки браузера к вам могут обратиться как угодно (например открыв tcp соединение и сформировав http запрос самостоятельно). И в этом случае вызывающий может написать любые заголовки, которые ему нравятся и от легитимного ajax вы это не отличите
    – Mike
    13 янв 2019 в 9:09
  • А в чем конкретно проблема, если просто вбить в адресную строку url запроса и напрямую обратиться к серверу? 13 янв 2019 в 9:24

2 ответа 2

1

Из фреймворка yii:

protected function isAjaxRequest()
    {
        return isset($_SERVER['HTTP_X_REQUESTED_WITH']) && $_SERVER['HTTP_X_REQUESTED_WITH']==='XMLHttpRequest';
    }

А вообще можно вместо GET использовать POST и на стороне сервера проверять что именно в $_POST пришли данные, тогда не получится из адресной строки браузера запустить.

Но учтите, злоумышленник если захочет, то легко эмулирирует запросы с браузера. Надо разделять приватные и публичные API.

2
  • А в laravel не подскажите подобный метод? 13 янв 2019 в 10:22
  • Гуглиться за 1.5 секунды, коммент дольше писать if(Request::ajax())
    – holden321
    13 янв 2019 в 10:39
0

Никак. Для того и создаётся api, чтобы можно было обратиться к нему по url хоть напрямую, хоть из кода js.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.