阻止直接访问文件，但允许通过 jquery 加载函数访问

Question

我正在使用 jQuery 通过它的.load() 函数向用户显示某个页面。我这样做是为了允许用户自定义网站，让他们能够满足他们的需求。

目前，我正在尝试在main.php 内的容器内显示文件feed.php；

我遇到了一个问题，我想阻止直接访问文件（即：直接访问它的路径（./feed.php ))，但仍允许通过 .load() 函数提供服务。

如果我为此使用 .htaccess deny from all 方法，我会在页面的特定部分得到 403。我找不到任何其他解决此问题的方法；不允许我实现我想要的。

这是我目前的（简体）script和html：

<script type="text/javascript">
    $("#dock-left-container").load("feed.php"); // load feed.php into the dock-left-container div
</script>

<div class="dock-leftside" id="dock-left-container"></div> // dock-left-container div

如果有人可以通过 .htaccess、php 或什至 完全不同 的方式提出解决方案，我会非常感谢！

提前致谢。

Answer 1

请按照以下步骤实现：

1. 在 jquery 的.load 函数中发布安全码。
2. 在 Feed.php 页面中放置一个 PHP 条件，如果发布的 security_code 参数找到并与 .load 中传递的 security_code 匹配，则只允许访问该页面，否则限制。

请按照您现有代码中的以下更改来实现它。

JS

<?php 
    $_SESSION['security_code'] = randomCode();
?>
<script type="text/javascript">
    $("#dock-left-container").load("feed.php", {
       security_code: '<?= $_SESSION['security_code']; ?>'
   }); // load feed.php into the dock-left-container div
</script>

PHP

将php条件放在feed.php的顶部

if(isset($_POST['security_code']) && $_POST['security_code'] == $_SESSION['security_code']){
    //Feed.php page's all the stuff will go here
}else{
    echo "No direct access of this page will be allowed.";
}

Answer 2

feed.php:

if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest') {
    readfile('myfeed.xml');
} else {
    header('HTTP/1.0 403 Forbidden');
}

jQuery 默认发送HTTP_X_REQUESTED_WITH 标头。到目前为止，这并不是任何远程安全的，因为 HTTP 标头很容易被发送/欺骗。但它会阻止偶尔尝试直接访问提要的用户。

您还可以检查$_SERVER['HTTP_REFERER'] 标头（但同样，这很容易被欺骗），当然，如果需要访问提要，请使用您的正常会话逻辑来确保用户已登录。

无论哪种方式：都无法做到“防水”。如果您的浏览器可以（应该能够）以某种方式访问​​提要，那么只需打开调试器，查看网络选项卡中发送的实际请求并发送完全相同的标头/请求即可到达来自 Curl 的文件。实际上，您也会在调试器中看到请求的响应（即实际提要）。

在我之后重复：如果我的（或用户的）浏览器可以访问“来自 jQuery”的提要（通过 AJAX 请求或其他方式），那么该用户可以访问提要，只要他比给予更持久一点立即起来。仅使用会话将阻止“未经授权”的用户，因为它依赖于登录。登录后，无论如何都可以看到请求，并且无论如何都可以“伪造”该请求以从任何其他应用程序发送。