使AJAX调用安全

Question

如果用户查看我的JavaScript文件，复制函数的内容并使用AJAX向我的服务器发送请求，会发生什么？ 有没有办法正确防止这种情况发生？

Answer 1

防止这种情况的方式与您保护任何 Web请求的方式没有什么不同。 您这样做是为了使您的站点需要某种形式的身份验证（即用户必须登录），如果请求未经过适当的身份验证，则不会执行任何操作。

通常，当您发出AJAX请求时，Cookie也会随请求一起发送，因此您应该能够使用与AJAX请求的常规请求相同的身份验证方法。

Answer 2

根据codeka，没有办法阻止某人制作他们自己的Ajax查询，该查询与您在Javascript请求中的查询相同。 跨域保护不一定会保护您，因为他们可以，如果他们愿意，只需在您网站的页面上将Javascript键入地址栏即可。

您唯一的保护是验证通过服务器端的Ajax查询提供的输入和参数。 将每个PHP或Python或任何响应脚本限制为一个非常特定的任务，并检查服务器端的输入。 如果出现问题，请回复错误。

简而言之，无法阻止某人发送请求，但您可以阻止他们执行您不希望他们在您的服务器上执行的操作。

Answer 3

假设您需要某种形式的身份验证：

我想你可以维护数据库会话来验证请求是否来自真正的伪造用户。 使用加密的cookie存储会话ID，并将cookie会话ID引用到数据库以验证用户