0

Tengo archivos .php que hacen includes de otros archivos, y scripts AJAX que necesitan hacer peticiones a otros documentos .php.

Por ejemplo, Documento X.php tiene un script AJAX que manda petición a documento B.php y trae cierta información. Obviamente, al ser ajax con lo que se está trabajando, la ruta a la que apunta se puede ver desde el código fuente, y cualquier persona que vea la ruta y acceda a ella recibirá la información que devuelve ajax.

En estos casos, como ajax envia una peticion con datos de formularios, puedo ver si esa petición está vacia o no con isset y en función de eso devolver el contenido o no mostrarlo.

Sin embargo, también tengo scripts AJAX que solo traen la información de un archivo .php. Es decir, el archvo en cuestion va a una base de datos, y saca una puntuación, y esa puntuación me la traigo a ajax y la meto en un DIV. Pero aquí no existe una petición de un formulario, asique no se me ocurre que podría hacer para mostrarlo unicamente mediante ajax y no si se entra en la página en cuestion.

Pongo un ejemplo:

      <!-- Funcion para AJAX -->
  <script>
  $(document).on('ready',function(){
    $('#boton').click(function(){
      $.ajax({
         type: "POST",
         url: "Reto.php",
         data: $("#form").serialize(),
         success: function(data)
         {
           $('#Resultado').html(data);
         }
       });

       $.ajax({
          type: "POST",
          url: "../Nav/Act/Puntos.php",
          success: function(data2)
          {
            $('#act1').html(data2);
          }
        });

        $.ajax({
           type: "POST",
           url: "../Nav/Act/Errores.php",
           success: function(data3)
           {
             $('#act2').html(data3);
           }
         });
    });
  });
  </script>
  <!-- Fin -->

La primera petición envia información $_POST['valor1'] etc... Así que para prohibir o no el acceso mediante URLS, simplemente compruebo que ese array no esté vacio, y si lo está deniego los datos.

¿Pero que hay de las otras dos peticiones de AJAX? No están enviando datos por ningún formulario, simplemente están sacando datos de unos documentos .php

Una solución que se me ocurre es tener formularios ocultos, pero lo veo muy chapucero.

También me preguntaba si es posible que los documentos .php podían tener particularidades como las classes, (private, public) de modo que solo puediera accederse mediante código y no mediante una URL. (Los métodos privados solo pueden ser accedidos por otros métodos, pero no desde el objeto).

Gracias por la ayuda!

1
  • Hola, ¿toda esta información la manejes dentro de un sistema? ¿esta información solo debería ser vista por ciertos usuarios? Si es el caso puedes controlarlo a través de la sesión; que solo se envíen datos cuando la petición sea de un usuario con sesión abierta y con privilegios para verla. Commented el 12 may. 2018 a las 12:27

2 respuestas 2

1

Esta podría ser una posible solución, la mayoría de las solicitudes Ajax deben establecer este encabezado particular que puede usar para filtrar las solicitudes Ajax y No Ajax. Puede utilizar esto para ayudar a determinar el tipo de respuesta (json / html):

if( isset( $_SERVER['HTTP_X_REQUESTED_WITH'] ) && ( $_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest' ) )
{
    // Permitir acceso....
} else {
    // Ignorar....
} 

Usted puede agregarlo por si mismo en sus propias solicitudes de Ajax con lo siguiente en su código de JavaScript:

var xhrobj = new XMLHttpRequest();
xhrobj.setRequestHeader("X-Requested-With", "XMLHttpRequest"); 

En los navegadores modernos, si se accede a una página usando AJAX, PHP agrega este encabezado a la solicitud. Si se llama a su página y si este encabezado no está presente, existe una buena posibilidad de que se llame directamente (o de que otra página lo redirija a través de un hipervínculo o de otro modo). Básicamente, esto siempre muestra la página prohibida a menos que esta página se llame usando AJAX.

if(!$_SERVER['HTTP_X_REQUESTED_WITH'])
{
   header("HTTP/1.0 403 Forbidden");
   exit;
}

Nota Importante: Esto no es 100% efectivo ya que los encabezados pueden ser falsificados.

Fuente SO: Prevent Direct Access To File Called By ajax Function

1

Tanto para forms como para ajax la forma de limitar el acceso es generando un "Token", guardarlo en una sesión, imprimirlo en el HTML y usarlo cada vez que se hace una petición.

En este enlace podes ver varias formas de implementarlo https://stackoverflow.com/a/31683058/1423096

Te copio aquí la mas sencilla:

paginaConForms.php

<?php 
session_start();
if (empty($_SESSION['token'])) {
    $_SESSION['token'] = bin2hex(random_bytes(32));
}
$token = $_SESSION['token'];
?>

<input type="hidden" name="token" value="<?php $token' ?>" />

phpQueRetornaAjax.php

if (!empty($_POST['token'])) {
    if (hash_equals($_SESSION['token'], $_POST['token'])) {
         // Procesar el Form/Petición
    } else {
         // Enviar a un log el intento, enviar datos falsos o error
    }
}

En el caso de páginas con sólo javascript le podes meter un form escondido, o capturar el valor para enviar con un $('input[name=token]').val();

Podes generar un token por cada formulario, por cada llamada ajax, ponerles un tiempo de expiración etc..

Tu Respuesta

By clicking “Publica tu respuesta”, you agree to our terms of service and acknowledge you have read our privacy policy.

¿No es la respuesta que buscas? Examina otras preguntas con la etiqueta o formula tu propia pregunta.