保护AJAX调用的PHPendpoint

Question

我的应用程序由几个PHPendpoint组成，这些endpoint可以通过AJAX访问。问题是它们也可以通过向同一endpoint发出HTTP请求的任何人访问。我可以添加这个答案中指定的HTTP_X_REQUESTED_WITH和HTTP_REFERER的检查，但是这些检查可以被欺骗。我可以添加一个需要与请求一起发布的密钥，但是任何查看javascript和/或控制台的人都可以看到这个密钥。这里的解决方案是什么？

Answer 1

没有。如果你给某人一些数据，那么他们可以用他们喜欢的任何方式处理它。您无法控制它离开服务器后会发生什么。

同样，您无法控制它们向endpoint发送的数据。

Answer 2

如果您的应用程序和api位于不同的域上，例如app.example.com和api.example.com，那么大多数答案都没有帮助-在这种情况下，会话将无法工作，您将不得不求助于OAuth，这对于这样一个简单的问题来说是一个相当大的难题。

以下是我会做的：

我假设数据库中有用户和唯一标识符，如user\u id=12345。我还假设您的作业位于数据库中，并且它们也具有唯一的ID，如job\u ID=6789。

首先在app.example.com中，您可以使用诸如Blowfish这样的快速简单的方法加密两个ID：

$secret_uid = mcrypt_encrypt(MCRYPT_BLOWFISH, "your_secret", strval($user_id));
$secret_jid = mcrypt_encrypt(MCRYPT_BLOWFISH, "your_secret", strval($job_id));

我假设您的endpoint的工作方式如下：

api.example.com/jobs/delete/<job_id>/<user_id>

现在从Ajax调用该endpoint，而不是使用普通ID调用

api.example.com/jobs/delete/6789/12345

你用加密的身份证打电话给它：

api.example.com/jobs/delete/6A73D5B557C622B3/57F064C07F83644F

在软件的API端，您可以解密参数：

$jid = mcrypt_decrypt(MCRYPT_BLOWFISH, "your_secret", <param_1>);
$uid = mcrypt_decrypt(MCRYPT_BLOWFISH, "your_secret", <param_2>);

现在，您可以在数据库中搜索uid和jid，并执行您计划执行的任何任务。当然，请确保用户只能删除自己的作业。

我承认这不是一个100%的解决方案，但它让攻击者有很多猜测工作——他必须猜测user_id和匹配的job_id、加密算法和你的秘密。它不能防止运行数百万次暴力尝试来猜测匹配的配对，但它会让几率对你有利（无论如何，你应该对你的endpoint有某种配额限制保护）。

祝你好运！

Answer 3

人们通常认为，因为他们使用的是Ajax请求，所以常规的会话不起作用。是的。如果您有一个endpoint要从数据库中删除源代码中可见的内容，例如：

example.com/user/1/delete

您可以像在浏览器中使用非Ajax HTTP请求一样，保护此请求免受未经身份验证的用户的攻击。使用会话。如果用户具有删除用户的权限，则此路由将起作用，否则返回错误（或不执行任何操作）。

还可以使用OAuth保护API。这里有一份很好的文件解释了它是如何工作的：http://tatiyants.com/using-oauth-to-protect-internal-rest-api/