服务器的安全 ajax GET/POST 请求

Question

假设我使用某种 API，并且我的文件server.php处理与 API 服务的连接。 在我的客户端，我使用这样的 AJAX 调用：

$http({
         url : 'server/server.php',
         method : 'GET',
         data : { getContent : true }
     });

在我的 server.php 中，我像这样处理它：

if(isset($_GET['getContent'])){
    $content = get_content();
}

function get_content(){...}

我只是想知道是什么阻止了任何人使用相同的 getContent 参数发送 AJAX 调用并获取我的所有数据？ 我如何保护它并确保只有来自我的应用程序的调用才能取回相关数据？

谢谢你！

Answer 1

我猜你担心 CSRF 攻击。 在此处阅读更多相关信息： https ://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29_Prevention_Cheat_Sheet

保护您的请求的最常用选项之一是： - 生成令牌并将其与会话请求一起发送。 此令牌可以由您的 WebServer 识别为来自特定客户端的特定会话

Answer 2

我只是想知道是什么阻止了任何人使用相同的 getContent 参数发送 AJAX 调用并获取我的所有数据？

没有什么。 此 URL 是公开的，因此任何人都可以向它提出请求。

我如何保护它并确保只有来自我的应用程序的调用才能取回相关数据？

您可以传递在服务器端验证的其他数据（例如，一些散列值）。

$http({
     url : 'server/server.php',
     method : 'GET',
     data : { getContent : true, hash : '0800fc577294c34e0b28ad2839435945' }
 });

和

if(isset($_GET['getContent']))
{
    if(isset($_GET['hash']) && validateHash($_GET['hash']))
    {
        $content = get_content();
    }
}

function get_content(){...}

Answer 3

我只是想知道是什么阻止了任何人使用相同的 getContent 参数发送 AJAX 调用并获取我的所有数据？

与保护任何其他请求中的数据的方式相同（例如，使用用户身份验证）。 就服务器而言，关于 HTTP 的 Ajax 没有什么特别之处。

我如何保护它并确保只有来自我的应用程序的调用才能取回相关数据？

你不能。 用户总是可以检查他们的浏览器向服务器请求什么并复制它。

通常，人们对用户而不是应用程序进行身份验证。

Answer 4

2022 更新

这是一篇已有 7 年历史的帖子，仅链接“已接受”答案中的链接已损坏。

所以，我将提供一个基本的演练和一个完整的模型。

请记住，如果$_SESSION都来自同一个域，即使在 AJAX 处理程序中也将保留它。 所以，你可以用它来检查事情。

使用$_POST

我假设您使用的是$_POST而不是$_GET因为您担心安全性。 如果不是，那么其中大部分内容可能并不重要。

if ($_SERVER['REQUEST_METHOD'] == 'POST') {
  $post_method = true;
}

确保$_SERVER['HTTP_REFERER']来自您自己的站点

if ( (!empty($_SERVER['HTTP_REFERER']))
&&   ($_SERVER['HTTP_REFERER'] === "https://example.tld/my_sending_page.php") ) {
  $from_my_server = true;
} 

如果您不确定这应该是什么，请在您自己的服务器上运行测试以查看应该是什么：

echo $_SERVER['HTTP_REFERER'];

通过$_SERVER数组验证 XMLHTTP/AJAX 请求

if ( (!empty($_SERVER['HTTP_X_REQUESTED_WITH']))
&&   ( strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest') ) { 
  $ajax = true; 
} else { 
  $ajax = false; 
} 

使用令牌

这是困难的部分，但不是太难。

1. 创建令牌
2. 在$_SESSION中设置令牌
3. 将令牌放在 AJAX 标头中
4. AJAX 响应者：使用$_SESSION令牌确认 AJAX 标头令牌

send_from_me.php

// Create the token
//$token = md5(rand(10000,99999));  // Not recommended, but possible
$token = bin2hex(random_bytes(64));

// Store in SESSION
$_SESSION["token"] = $token;

// Assuming your AJAX is this
const AJAX = new XMLHttpRequest();

// This goes inside your AJAX function somewhere before AJAX.send
//
AJAX.setRequestHeader("ajax-token", "<?php echo $_SESSION["token"]; ?>");
//
// That creates $_SERVER['HTTP_AJAX_TOKEN'] which we can use later

ajax_responder.php

session_start(); // Must have

if ($_SERVER['HTTP_AJAX_TOKEN'] === $_SESSION["token"]) {
  $token_match = true;
} else {
  echo "No script kiddies!";
  exit();
}

// Now it's safe for your AJAX responder to proceed

让我们将所有这些放入一个工作示例中

send_from.php

<?php

session_start();

$token = bin2hex(random_bytes(64));
$_SESSION["token"] = $token;

?>

<!DOCTYPE html>
<html>
  <head>
    <title>My AJAX Sender</title>
  </head>
  <body>

    <script>
      function ajaxFormData(formID, postTo, ajaxUpdate) {

        // Bind a new event listener every time the <form> is changed:
        const FORM = document.getElementById(formID); // <form> by ID
        const FD = new FormData(FORM); // Bind to-send data to form element
        const AJAX = new XMLHttpRequest(); // AJAX handler

        // This runs when AJAX responds
        AJAX.addEventListener( "load", function(event) {
          document.getElementById(ajaxUpdate).innerHTML = event.target.responseText;
        } );

        // This runs if AJAX fails
        AJAX.addEventListener( "error", function(event) {
          document.getElementById(ajaxUpdate).innerHTML =  'Oops! Something went wrong.';
        } );

        // Add your token header
        AJAX.setRequestHeader("ajax-token", "<?php echo $_SESSION["token"]; ?>");

        // Open the POST connection
        AJAX.open("POST", postTo);

        // Data sent is from the form
        AJAX.send(FD);

      }
    </script>

    <div id="ajax_changes">Replace me with AJAX</div>

      <form id="ajaxForm">
        <input type="text" name="the_simple_response">
        <button type="button" onclick="ajaxFormData('ajaxForm', 'ajax_responder.php', 'ajax_changes');">Send my Secure AJAX</button>
      </form>

  </body>
</html>

ajaxcheck.inc.php

<?php

$mysite = 'https://example.tld';

// All in one test
if (($_SERVER['REQUEST_METHOD'] == 'POST')
&& ((!empty($_SERVER['HTTP_REFERER'])) && ($_SERVER['HTTP_REFERER'] === "$mysite/my_sending_page.php"))
&& ((!empty($_SERVER['HTTP_X_REQUESTED_WITH'])) && ( strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest'))
&& ($_SERVER['HTTP_AJAX_TOKEN'] === $_SESSION["token"])) {
  
  $ajax_legit = true;
  
} else {
  
  echo "No script kiddies!";
  exit();
  
}

?>

ajax_responder.php

<?php

session_start();

// Do all that checking we're learning about by neatly including the file above
require_once('ajaxcheck.inc.php');

// Process your AJAX
echo $_POST['the_simple_response'];

?>