只允许授权的AJAX请求

Question

简化：在我的JS/PHP应用程序中，我有一个按钮。当用户单击按钮时，他得到1分，该分数通过jQuery AJAX/PHP保存在数据库中。

当然，用户现在可以调用发出AJAX请求的脚本，而无需单击按钮。有没有避免这种情况的最佳做法？

我使用AJAx是因为我不想重新加载页面。

更新：还有许多其他选择，用户可以如何赚取积分。理想情况下，我会有一个JS函数add_points（点），为用户添加点。但是我知道任何人都可以写一个脚本来自动调用这个函数。我想唯一的方法是在每个可能的积分赚取操作中生成一个哈希，并用AJAX请求提交这个哈希。

Answer 1

if(!empty($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') {
    /* special ajax here */
    die($content);
}

Answer 2

如果允许用户点击任意次数，就没有真正的方法阻止自动点击。如果她只需单击一次（如stackoverflow上的向上投票），则服务器用于更新值的代码应自动确认她在检查数据库之前没有单击该值。

Answer 3

你可以做的一件事是生成一个哈希，并检查这个哈希是新的还是在最后一天没有使用，例如...确保用户必须得到一个新的哈希才能按下按钮。