Ajax 安全性（我希望）

Question

我正在构建一个浏览器游戏，并且我使用大量的 ajax 而不是页面刷新。我正在使用 php 和 javascript。经过大量工作后，我注意到 ajax 并不完全安全。我担心的威胁是有人想在我的 SQL 服务器上查找某人的信息，他们只需要在与我的 ajax 调用关联的 .php 文件中键入正确的信息。我使用的是 GET 风格的 ajax 调用，这是一个坏主意。无论如何，经过大量研究，我采取了以下安全措施。我切换到 POST（这实际上并不安全，但它的威慑力很小）。我也有一个推荐的地方，它又可以被伪造，但又是另一种威慑。

我采取的最后措施是这个问题的重点，当我的网站加载时，我在会话中生成并保存了一个 80 字符的十六进制密钥，当我发送 ajax 调用时，我也在发送挑战

形式的键

challenge= <?php $_SESSION["challenge"]; ?>

现在，当 ajax php 文件读取此内容时，它会检查发送的质询是否与会话质询匹配。现在这本身不会做太多，因为您可以简单地打开萤火虫并轻松查看正在发送的挑战。所以我要做的是，一旦使用了该挑战，它就会在会话中生成一个新挑战。

所以我的问题是，从我站立的位置来看，这有多安全从另一个来源发送伪造的请求。是否有人看到此安全方法的任何漏洞或有任何其他想法或想法。

Answer 1

您对“安全”的定义含糊不清。您似乎对防止数据被拦截不太感兴趣，而对阻止人们向您的服务器提交自定义请求更感兴趣。这不是安全，这只是好的应用程序设计——你的程序不应该接受导致内部状态中断的请求。你绝对不能做任何事情来阻止人们提交他们想要的任何数据。解决方案是在服务器端验证他们提交的数据，而不是试图阻止他们在客户端提交数据，这总是会失败。

我切换到 POST

你不应该打扰；这与安全无关。使用适合请求的任何 HTTP 动词。你是在查询信息吗？使用获取请求。您是否正在更新/插入/删除信息？使用帖子。

假设有人想在我的 SQL 服务器上查找某人的信息，他们只需将正确的信息键入到我的关联 .php 文件中

您应该对所有请求进行身份验证，以确保他们能够访问他们正在查询的数据。 SSL 将帮助您安全地执行身份验证。

当我的网站加载时，我在会话中生成并保存了一个 80 字符的十六进制密钥，当我发送 ajax 调用时，我也在发送挑战密钥

这无济于事。您问题的整个前提似乎是用户安装了 Firebug 或类似的 HTTP 调试工具。如果他们这样做了，您的会话密钥将变得无用。

Answer 2

查看“meagar”的答案。

我想提一下：

通过在 Session 中传递一个标识符，您正在做 Session 已经在做的事情。通常有一个 cookie，其唯一标识符类似于您生成的那个，它本质上告诉您的应用程序该人是谁。一般而言，这就是 PHP 会话的工作方式。

在这种情况下，您需要做的是检查给定请求 - POST 或 GET - 特定用户（其唯一用户 ID 或类似的，是否存储在Session) 有权根据该特定请求添加/更改/删除/任何内容。

因此，对于“搜索”请求，您只会返回用户 X 有权查看的结果。这样，您就不必担心他们发送的内容 - 如果用户无权执行某项操作，系统就会知道不让他们执行此操作。

因此“您应该验证所有请求”。

有人可以随意添加。

Answer 3

function mysqlRequest(type,server,name,value,sync){
    $.ajax({
            type: 'POST',
        url: 'sql.php',
        data: "server=s"+server+"&type="+type+"&name="+name+"&value="+value+"&challenge=<?php echo $_SESSION['challenge']; ?>",
        cache: false,
        dataType: 'json',
        async: sync,
        success: function(data){
            },
        complete: function(){}