So sichern Sie die JSON-Daten, die von der AJAX-Datei an jqGrid übergeben werden

Question

Zunächst einmal vielen Dank für die Erstellung von jqGrid! Es ist ein ausgezeichnetes Stück Arbeit!

Wenn meine index.php-Datei die JSON-codierten Suchkriterien in meine grid.php-Datei schreibt, verarbeitet grid.php die Kriterien, fragt die Datenbank ab und gibt eine JSON-codierte Zeichenfolge zurück an index.php, die in Turn nimmt die Ergebnisse und rendert sie in einer jqGrid-Tabelle.

Alles funktioniert prächtig.

Wenn jedoch ein interner Benutzer seinen Browser auf grid.php verweist, gibt er eine Reihe von Datensätzen zurück, die die Standardkriterien erfüllen (30 Datensätze pro Seite, die Felder und ihre Daten wie programmiert). Und weil ich es Setup zu POST haben, könnte ein Benutzer Abfrageparameter anhängen manuell grid.php, z.B .:

http://foo.bar/grid.php?clientID=123&city=anytown 

I Sicherheitskontrollen beide platziert haben in meiner index.php und grid.php. Als Beispiel:

if(userGroup='Sales'){ 
     $sqlstr = "SELECT * FROM table WHERE group='SALES'"; 
    }else{ 
     $sqlstr = "SELECT * FROM table"; 
    } 

Aber das Problem ist, dass sie diese Prüfungen umgehen können, indem sie ihren Browser direkt auf grid.php zeigen.

Hat jemand Vorschläge, wie die von grid.php zurückgegebene Zeichenfolge gesichert werden kann?

UPDATE

Per Justin Vorschlag, ich denke, dass ich jetzt auf dem richtigen Weg sein könnte. So etwas könnte funktionieren:

$trace = debug_backtrace(); 
    if ($trace[0]['file'] != 'index.php'){ 
     echo "There was an error. Please contact your Systems Administrator."; 
     return 0; 
    } 

Nun, das hat nicht wie erwartet funktioniert. Ich hinterlasse diese Informationen hier für die Nachwelt.

Answer 1

Sie müssen PHP-Code hinzufügen, um die grid.php URL zu sichern. Wenn es für Ihre Anwendung machbar ist, können Sie zunächst ein Authentifizierungssystem hinzufügen, um zu verhindern, dass alle Benutzer auf die URL zugreifen. Sobald dies vorhanden ist, können Sie es noch sicherer machen, indem Sie rollenbasierte oder benutzerbasierte Berechtigungen hinzufügen.

Zum Beispiel darf nur die Benutzergruppe "Verkauf" angehängt werden, wenn der Benutzer diese Option anbietet und sie Mitglied der Gruppe "Verkauf" sind.

Wie Sie dies tatsächlich implementieren, hängt davon ab, welches PHP-Framework Sie verwenden (falls vorhanden) und den Anforderungen Ihrer Anwendung.