Wie kann sichergestellt werden, dass ein Benutzer die Ergebnisse einer PHP-Skript-URL nicht anzeigt?

Question

Wie kann sichergestellt werden, dass ein Benutzer die Ergebnisse einer PHP-Skript-URL nicht anzeigt?

Kürzlich, wenn die Quelle einer Website anzeigen, die einen AJAX-Aufruf machte, habe ich versucht, den Link im Browser

www.site.com/script.php?query=value 

Statt sich um das Ergebnis zu folgen ich sehe, zu erwarten, sah ich eine Meldung, Nur Skripts sollten diese Seite anzeigen.

Wie schränken Sie ein Skript so ein, dass nur ein Skript darauf zugreifen kann?

UPDATE:

hier ist die Seite DEMO page

Answer 1

mit PHP können Sie überprüfen und nur Ergebnisse anzeigen, wenn die Seite über Ajax aufgerufen wird

function isAjax() { 
    return (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && ($_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest')); 
} 

if(isAjax()) { 
    // display content 
} else { 
    // not ajax, dont show 
    echo 'Invalid Request'; 
} 

Answer 2

Kurze Antwort: Sie können es nicht.

Lange Antwort: Sie können es schwieriger machen, indem Sie spezielle Header-Werte in der HTTP-Anfrage erfordern (Einstellung Accept to application/json ist eine häufige). Überprüfen Sie auf der Serverseite, ob der Header auf den erwarteten Wert gesetzt ist. Dadurch wird sichergestellt, dass normale Benutzer die Nachricht erhalten, die Sie erwähnen, und Ihre Skripts funktionieren einwandfrei. Natürlich können fortgeschrittene Benutzer solche Einschränkungen einfach umgehen, also verlassen Sie sich nicht auf die Sicherheit.

Answer 3

Sie können nicht. Ein Mensch kann die Anfrage immer spotten. Sie können Ihre Anfrage mit einer Post-Variable senden, um sicherzustellen, dass ein Mensch nicht versehentlich auf die Seite gelangt.

Answer 4

Eine mögliche Lösung besteht darin, die HTTP-Anforderung auf ihren Ursprung zu überprüfen. Eine andere Lösung besteht darin, bei jeder Anfrage ein "Passwort" zu senden. Werfen Sie einen Blick in this tutorial, wie dies zu tun ist.

Aber es ist nie 100% sicher, es macht es nur für mögliche Eindringlinge schwieriger.

Answer 5

Wenn Sie das Skript von AJAX aufrufen, MUSS es für Sie zugänglich sein, da ein AJAX-Aufruf ähnlich wie Ihr Browser nach der Seite fragt und somit nicht nur Skript zugänglich ist, sondern für jeden zugänglich ist.

Wenn es tatsächlich von PHP oder auf andere Weise aufgerufen wurde, könnten Sie "vielleicht" Apache-Regeln oder PHP-Scripting verwenden, um die Zugänglichkeit zu verringern.

Answer 6

Viele Open-Source-Anwendungen verwenden, um eine Variation dieses oben auf jeder PHP-Datei:

if (!defined('SOMETHING')) { 
    die('only scripts have direct access'); 
} 

Dann in index.php definieren sie etwas:

define("SOMETHING", "access granted."); 

edit: ich sage nicht, das ist ein guter Ansatz btw

edit2: Scheint, ich habe den Teil über eine Ajax-Anfrage verpasst. Ich stimme zu, dass dies keine Lösung ist.

Answer 7

Sie können einen geheimen Wert in die PHP-Sitzung mit dem Skript 'view' setzen und mit den Ajax-Skripten überprüfen.

• Fordern Sie index.php mit dem Browser an.
• PHP erstellt die Seite, speichert einen Schlüssel in die Sitzung, sendet den Inhalt an den Browser zurück.
• Der Browser erhält den Seiteninhalt und macht einige Ajax-Anfrage an Ihre Website.
• Diese Ajax-Skripte haben auch Zugriff auf die gleiche Sitzung Ihre Hauptseite tat, die Sie nach einem Schlüssel überprüfen können.

Dies versichert, nur authentifizierte Browser sind erlaubt, die Ajax-Anfragen zu machen.

Rechnen Sie nicht damit, dass die Ajax-Anfrage in die Sitzung schreiben kann. Wenn viele Anfragen gleichzeitig erfüllt sind, wird der letzte Eintrag als letzter in den Sitzungsspeicher zurückgeschrieben.

http://us.php.net/manual/en/book.session.php

Answer 8

Wie Tim erwähnt, wird dieses Skript suchen an Sicherheit grenzender Wahrscheinlichkeit für diesen Request-Header, die mit jeder Anforderung an rpc.php gesendet wird (über das Netz Panel in Firebug gefunden, natürlich):

X-Requested-With : XMLHttpRequest 

In Bezug auf die Cross-Browser-Kompatibilität scheint die setRequestHeader method sowohl mit den Verbindungen activex und xmlhttprequest verfügbar zu sein, so dass dies in allen gängigen modernen Browsern funktionieren sollte.