Consentire l'accesso al file PHP solo tramite ajax sul server locale

Question

Ho un sito Web che ha bisogno di incrementare i valori in un database in base all'interazione dell'utente. Quando gli utenti fanno clic su un pulsante, viene chiamato uno script php che incrementa il valore. Mi piacerebbe proteggere questo script dall'accesso da script esterni. Attualmente un utente può scrivere la propria pagina web con una funzione javascript che colpisce ripetutamente lo stesso file php per far esplodere il valore nel database.

Ecco il mio codice jQuery che fa l'Incrementale:

jQuery(function(){ 
$('.votebtn').click(function(e){ 
    var mynum = $(this).attr('id').substring(0,5); 
    $.ajax({ 
      url:"countvote.php", 
      type:"GET", 
      data: { 
       thenum:mynum 
      }, 
      cache: false, 
      success:function(data) { 
       alert('Success!'); 
       } 
      } 
     }); 
}); 
}); 

Come potrei fare per fare in modo che solo una chiamata da Ajax/jquery sul server locale possono accedere 'countvote.php'? Se questo non è il modo corretto per farlo, sono aperto a qualsiasi suggerimento che impedisca che il mio script php venga abusato da script esterni.

Answer 1

È possibile verificare se è uguale a xmlhttprequest, ma non è un metodo affidabile per determinare se una richiesta è una richiesta AJAX oppure no, c'è sempre un modo per aggirare questo problema. Ma ti protegge da colpi casuali come url erroneamente inseriti, crawler, ecc.

Answer 2

Non c'è davvero un metodo al 100% per farlo. Le richieste AJAX arriveranno sempre da un cliente. Utilizza le richieste POST invece di GET e ciò ti aiuterà a prevenire eventuali problemi, ma non a fermarli completamente e nel tuo php, basta rilasciare tutte le richieste.

Answer 3

La soluzione richiede due passaggi.

In primo luogo il file Ajax deve consentire l'accesso solo in una richiesta Ajax con questo codice.

define('IS_AJAX', isset($_SERVER['HTTP_X_REQUESTED_WITH']) &&  strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest'); 
if(!IS_AJAX) {die('Restricted access');} 

In secondo luogo il file ajax ha accesso nel nome del file chiamano con il comando $ _SERVER [ 'HTTP_REFERER']. Quindi è possibile limitare l'accesso solo nel server host.

$pos = strpos($_SERVER['HTTP_REFERER'],getenv('HTTP_HOST')); 
if($pos===false) 
    die('Restricted access'); 

Forse il codice può funzionare solo con la seconda parte