На странице есть возможность подгружать контент через ajax с сервера. При этом,как вы знаете, это происходит путем обращения к серверу по url, который указывается в параметрах функции ajax. Вот как распознать на сервере, что запрос пришел именно посредством ajax, а не напрямую? А то ведь в противном случае можно просто вбить в адресную строку url запроса и напрямую обратиться к серверу и получить ответ. Как это предотвратить? Запретить нужно на сервере, ведь на клиенте можно вообще js отключить...
-
1POST запрос в адресную строку не вставишь– Dmytro13 янв 2019 в 9:03
-
При вызове ajax средствами jquery и некоторых других фреймверков они добавляют к запросу заголовок X-Requested-With. Так же вы можете добавлять свои заголовки. Заголовки невозможно задать при обращении из обычного браузера через адресную строку. НО надо понимать, что помимо адресной строки браузера к вам могут обратиться как угодно (например открыв tcp соединение и сформировав http запрос самостоятельно). И в этом случае вызывающий может написать любые заголовки, которые ему нравятся и от легитимного ajax вы это не отличите– Mike13 янв 2019 в 9:09
-
А в чем конкретно проблема, если просто вбить в адресную строку url запроса и напрямую обратиться к серверу?– Ипатьев13 янв 2019 в 9:24
2 ответа
Из фреймворка yii:
protected function isAjaxRequest()
{
return isset($_SERVER['HTTP_X_REQUESTED_WITH']) && $_SERVER['HTTP_X_REQUESTED_WITH']==='XMLHttpRequest';
}
А вообще можно вместо GET использовать POST и на стороне сервера проверять что именно в $_POST пришли данные, тогда не получится из адресной строки браузера запустить.
Но учтите, злоумышленник если захочет, то легко эмулирирует запросы с браузера. Надо разделять приватные и публичные API.
Никак. Для того и создаётся api, чтобы можно было обратиться к нему по url хоть напрямую, хоть из кода js.