使用htaccess拒绝Ajax文件访问

Question

有些脚本只能通过ajax使用，并且我不希望用户直接从浏览器运行这些脚本。我使用jQuery进行所有ajax调用，并将所有ajax文件保存在名为ajax的文件夹中。

因此，我希望创建一个htaccess文件来检查ajax请求（HTTP_X_REQUESTED_WITH）并拒绝该文件夹中的所有其他请求。（我知道可以伪造http标头，但我想不出更好的解决方案）。我尝试了这个：

ReWriteCond％{HTTP_X_REQUESTED_WITH} ^ $
ReWriteCond％{SERVER_URL} ^ / ajax / .php $
ReWriteRule ^。* $-[F]

但是，它不起作用。我做错了什么？还有其他方法可以达到类似的结果。（我不想在每个脚本中检查标题）。

Answer 1

坏：Apache :-(

X-Requested- With不是标准的HTTP标头。

您根本无法在apache中读取它（无论是通过 ReWriteCond %{HTTP_X_REQUESTED_WITH} 还是通过
%{HTTP:X-Requested-With}），因此无法在.htaccess或同一位置对其进行检查。:-(

丑陋的脚本:-(

它只能在脚本中访问（例如php），但是您说由于文件数量的原因，您不想在所有脚本中都包含php文件。

好的：auto_prepend_file :-)

• 但是…有一个简单的技巧可以解决它:-)

auto_prepend_file指定在主文件之前自动解析的文件的名称。您可以使用它来自动包含“检查器”脚本。

因此，.htaccess在ajax文件夹中创建一个

php_value auto_prepend_file check.php

并check.php根据需要创建：

<?
if( !@$_SERVER["HTTP_X_REQUESTED_WITH"] ){
        header('HTTP/1.1 403 Forbidden');
        exit;
}
?>

您可以根据需要自定义它。