仅从此 ajax 调用 php 脚本 [关闭]

Question

我试图用谷歌搜索我的问题，但我什至不知道如何问我的问题：当用户在我的网站上执行一个特定事件时，我想调用此函数，这会增加其他用户在一个mysql数据库：

function incrasecredit(){
   $.ajax({
     type: "POST",
     url: "/increasecredit.php",
     data: {},
     success: function(html) {
     }
    }); 
   }

...简单。问题是（如脚本名称所示）此事件与“信用系统”/货币相关联。所以我想它应该是安全的。用户不应以任何其他方式访问“/increasecredit.php”。例如。只需通过浏览器执行它。只有在这种特殊情况下，当我在我的 jquery 脚本中调用它时。更准确地说，当用户点击 iframe 时，应该执行 incrasecredit()。并且仅在这种情况下。我怎样才能保护这个脚本不被错误地执行？我试图用令牌解决它，但还没有弄清楚。我觉得我没有得到更大的图景。提前致谢。

Answer 1

您应该在您的页面上实施 CSRF 令牌，以检查请求是否通过合法机制来自您的网站。这归结为让一个仅使用的令牌与需要匹配存储的令牌与用户会话 cookie 的 POST 请求一起传递。此令牌也应在一段时间后自动过期。

此外，后端应该实现某种 ACL 来授权交易。可以通过会话检查用户的角色以获取经过身份验证的用户。