Вопрос о PHP + AJAX + Безопасность.

define и defined

1 и 2 связываются (гетом|постом) или инклудом?

сейчас они вообще никак не связаны ср-ми php)

Листинг для 1.php

function parseXml(xml)

{

// разбираем ответ

}

function SomeF() {

data = "?asd=213";

$(document).ready(function()

$.ajax({

type: "POST",

url: "2.php"+data,

dataType: "xml",

success: parseXml

});

});

}

Листинг 2.php

<?php

$abc = htmlspecialchars($_GET['asd']);

$whois = getenv("HTTP_REFERER");

If ($whois <> "our_site") {

$abc = 0;

}

Else {

$abc = $abc+1

}

?>

<?php

header('Content-type: text/xml');

echo <<<END

<?xml version="1.0" encoding="UTF-8"?>

<ans>

<a1>{$abc}</a1>

</ans>

END;

?>

приблизительно так

проверять метод запроса (не пропускать GET) и Refferer

Рефер подделывается, запрос (пост или гет) можно тоже выбирать. Не канает.

"ключик" добавьте

2.php?mysecretkey=yahahahah_you_are_fucking_hacker_lamer

ну и 2.php

<?

if($_GET['mysecretkey'] != "yahahahah_you_are_fucking_hacker_lamer")

{

die(strtoupper(str_replace("_"," ","yahahahah_you_are_fucking_hacker_lamer")));

}

Именно так. Рекомендация нулёвая.

Самый простой метод: сделать через сессии. При обращении к 1.php создаётся сессия, кук с её идентификатором попадает в браузер, где выполняется ajax-запрос. Вместе с этим запросом в 2.php уходит кук с айди открытой сессии. В 2.php необходимо сделать проверку на существование сессионного кука, на существование этой сессии и только тогда отдавать XML. Т.о. мы получаем _обязательную_ необходимость посещения 1.php перед тем как получить данные из 2.php.

Скажу честно, такую защиту я поломаю с помощью Curl примерно минут за 10. Но не зная методики защиты, для большинства это будет проблемой. Так что, лучше так, чем вообще никак. :)

Дальше уже можно навернуть ещё что-то сверху этого метода. Для начала, думаю, и этого хватит.

Santyago добавил 12.02.2010 в 18:24

Т.е. один ключик для всех? Смотришь исходник в браузере, копируешь ключик и используешь сколько влезет?

Santyago, я так понял, что 2.php не вызывается браузером напрямую, а через 1.пхп, если неправ, то очевидно что этот метод не сканает :)

bearman добавил 12.02.2010 в 18:26

минута от силы.

запрос отправляется от браузера... Его легко поймать... да и к тому же запрос отправляется через js... что упрощает задачу до банального просмотра исходников 1.php в браузере.

Чеширский добавил 12.02.2010 в 18:28

2.php вызывается через бразуер, так как вызывается средствами JS.

видимо да, 2.пхп должен аяксом из браузера браться. тогда сессия спасет 100%. ито до использования курла =)

в общем то есть правило - "что может увидеть пользователь, невозможно защитить от скачивания/парсинга"

bearman добавил 12.02.2010 в 18:29

Чеширский, да, прошу продения, глянул на картинку а не в текст :)

по картинке думается, будто 1.php выступает в роли "прокси" между пользователем и 2.

спрячте ее)

Судя по этому

$.ajax({

type: "POST",

url: "2.php"+data,

dataType: "xml",

success: parseXml

});

});

Таки вызывается из браузера и задача как раз в том, чтобы запретить прямые вызовы без захода на страницу сайта. Если не прав - тоже поправьте... :)

Гм... А кофе заварить?.. :D