php - 通常は AJAX 経由でアクセスされるリモート PHP ページへの偽装アクセスを制限する

Question

少し投票システムがある Drupal サイトを構築しています。パラメータを取り、それに応じて投票データベースを更新するPHPページがあります。Drupal サイトでこの AJAX を介してこのページにアクセスできるようにするにはどうすればよいですか?そうでなければ、この URL にアクセスする外部ユーザーへのアクセスを制限して、偽造投票を防ぐにはどうすればよいですか?

Answer 1

AJAX == 通常の HTTP リクエスト。AJAX リクエストと「通常のアクセス」を区別することはできません。これを防ぐ方法はありません。

間違った投票を防ぐには、そのようなセキュリティを投票システムに組み込む必要があります。登録を要求し、セッションとナンスを使用するか、必要なものは何でも使用します。しかし、「非 AJAX リクエストをブロック」しようとすることは解決策ではありません。

Answer 2

'X-Requested-With: XMLHttpRequest'ほとんどの標準的なブラウザーで各 Ajax 要求に追加される HTTP ヘッダーを利用できます。

しかし、@deceze が指摘したように、「安全」とは言えません。このヘッダーを含む「通常の」http 要求は、Fiddler を使用するか、プログラムによって発行するのは非常に簡単です。

POSTブラウザーのアドレス バーを更新するだけで投票を制限する必要がある場合は、http動詞を使用して投票値を取得するようにスクリプトを変更します。