Wie überprüfe ich, ob die Anfrage eine AJAX-Anfrage mit PHP ist?

Question

Ich möchte serverseitig prüfen, ob eine Anfrage an meine PHP-Seite eine Ajax-Anfrage ist oder nicht.

sah ich zwei Möglichkeiten, dies zu tun:

Erste Möglichkeit: einen GET Parameter in der Anfrage zu senden, die die Seite sagt, dass dies ein AJAX-Request (= mypage.php?ajax)

mypage.php:

if(isset($_GET['ajax'])) { 
    //this is an ajax request, process data here. 
} 

Zweite Weise: Satz einen Header an den xmlHttpRequest:

clientseitige js:

xmlHttpRequestObject.open(“GET”,url,true); 
xmlHttpRequestObject.setRequestHeader('X-Requested-With', 'XMLHttpRequest'); 

mypage.php:

if (!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') { 
    //request is ajax 
} 

---

Die Tatsache ist, können diese zwei Möglichkeiten, es zu tun leicht gehackt werden, so ist es nicht zu überprüfen, zu sichern, wenn ich eine AJAX-Anforderung wie diese zu erhalten .

Wie kann ich überprüfen, ob ich eine AJAX-Anfrage erhalte?

Answer 1

Es gibt keine sichere Möglichkeit zu wissen, dass eine Anfrage über Ajax gestellt wurde. Sie können niemals den Daten vertrauen, die vom Client kommen. Sie könnten ein paar verschiedene Methoden verwenden, aber sie können leicht durch Spoofing überwunden werden.

Answer 2

Sie könnten versuchen, eine $_SESSION Variable zu verwenden, um sicherzustellen, dass eine Anfrage von einem Browser gemacht wurde. Andernfalls könnte die Anforderung über eine Datenbank oder Datei [serverseitig] gesendet werden.

Answer 3

ein Session-Variable für jede Seite auf Ihrer Website Stellen (tatsächliche Seiten nicht enthalten oder RPCs), den die aktuellen Seitennamen enthält, dann in Ihrem Ajax-Aufruf eine Nonce mit dem _SERVER $ gesalzen pass [ ‚SCRIPT_NAME‘]:

<?php 
function create_nonce($optional_salt='') 
{ 
    return hash_hmac('sha256', session_id().$optional_salt, date("YmdG").'someSalt'.$_SERVER['REMOTE_ADDR']); 
} 
$_SESSION['current_page'] = $_SERVER['SCRIPT_NAME']; 
?> 

<form> 
    <input name="formNonce" id="formNonce" type="hidden" value="<?=create_nonce($_SERVER['SCRIPT_NAME']);?>"> 
    <label class="form-group"> 
    Login<br /> 
    <input name="userName" id="userName" type="text" /> 
    </label> 
    <label class="form-group"> 
    Password<br /> 
    <input name="userPassword" id="userPassword" type="password" /> 
    </label> 
    <button type="button" class="btnLogin">Sign in</button> 
</form> 
<script type="text/javascript"> 
    $("form.login button").on("click", function() { 
     authorize($("#userName").val(),$("#userPassword").val(),$("#formNonce").val()); 
    }); 

    function authorize (authUser, authPassword, authNonce) { 
     $.ajax({ 
      type: "POST", 
      url: "/inc/rpc.php", 
      dataType: "json", 
      data: "userID="+authUser+"&password="+authPassword+"&nonce="+authNonce 
     }) 
     .success(function(msg) { 
      //some successful stuff 
     }); 
    } 
</script> 

dann im rpc Sie anrufen Test die Nonce Sie bestanden, wenn es Chancen gut, ist dann ziemlich groß sind, dass Ihr rpc legitim genannt wurde:

<?php 
function check_nonce($nonce, $optional_salt='') 
{ 
    $lasthour = date("G")-1<0 ? date('Ymd').'23' : date("YmdG")-1; 
    if (hash_hmac('sha256', session_id().$optional_salt, date("YmdG").'someSalt'.$_SERVER['REMOTE_ADDR']) == $nonce || 
     hash_hmac('sha256', session_id().$optional_salt, $lasthour.'someSalt'.$_SERVER['REMOTE_ADDR']) == $nonce) 
    { 
     return true; 
    } else { 
     return false; 
    } 
} 

$ret = array(); 
header('Content-Type: application/json'); 
if (check_nonce($_POST['nonce'], $_SESSION['current_page'])) 
{ 
    $ret['nonce_check'] = 'passed'; 
} else { 
    $ret['nonce_check'] = 'failed'; 
} 
echo json_encode($ret); 
exit; 
?> 

edit: zu Ihrer Information die Art und Weise habe ich es eingestellt das nonce ist nur gut für eine stunde und wechsel, also wenn sie das pa nicht aufgefrischt haben Wenn Sie den Ajax-Anruf in der letzten Stunde oder 2 Stunden machen, wird die Ajax-Anfrage fehlschlagen.

Answer 4

Hier ist die tutorial des Erreichens des Ergebnisses.

Beispiel:

if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') 
{  
    exit;  
} 
continue; 

Diese prüft, ob die HTTP_X_REQUESTED_WITH Parameter nicht leer ist, und wenn es zu xmlhttprequest gleich ist, dann wird es aus dem Skript verlassen.

Answer 5

$headers = apache_request_headers(); 
$is_ajax = (isset($headers['X-Requested-With']) && $headers['X-Requested-With'] == 'XMLHttpRequest'); 

Answer 6

Diese Funktion ist in yii Rahmen verwendet für Ajax-Aufruf zu überprüfen.

public function isAjax() { 
     return isset($_SERVER['HTTP_X_REQUESTED_WITH']) && $_SERVER['HTTP_X_REQUESTED_WITH'] === 'XMLHttpRequest'; 
}