這是一個很好的Ajax安全實踐嗎？

Question

在現代URL模式（路徑樣式）中，我將提出三個請求：

1. / hello - 最終用戶可以使用
2. / getdata - 將是服務器端的ajax處理程序，將由/ from / hello啟動
3. / getresults - 將無法通過直接訪問或Ajax訪問，但它將可用，並且此腳本的響應可從“本地服務器訪問”獲得，例如使用/ getdata中定義的cURL訪問它，並發送一些來自/ getdata的特定標頭 - 以確保訪問的安全性。

這只是我的一個理論，我知道這是可能的，但我只是想知道你們對這個“ajax-security-approach”有什么想法，你認為這可能是一個更“安全”隱藏你的方法嗎？其他子請求，還是其他什么？

我還沒有這樣做，但我的計划清單上有這個。

Answer 1

來自評論：

你有沒有想過你的Ajax請求通過直接訪問使它們無法訪問，這意味着只有XmlHttpRequest請求可以訪問它們？

不，這樣做不行。 沒有辦法使資源僅可用於Ajax請求，因為任何Ajax請求都是虛假的。 所有請求（包括Ajax）仍然來自客戶端的IP，您永遠不會信任它們。

如果/getresults包含敏感數據，則需要適當的保護，例如通過登錄功能。