如何防止跨域ajax请求？

Question

如何检测我的 php 脚本是否从另一个域调用并且另一个域正在非法使用我的脚本？也有办法防止这种情况吗？

更新

我发现这个问题关于SO，但它仍然不安全，它可以被欺骗。

Answer 1

没有任何绝对万无一失的方法可以防止这种情况，因为任何标头信息都可以被欺骗。基于会话的令牌是另一种可能的解决方案，但在这种情况下，您的 JavaScript 是可公开访问的，因此任何愿意花一点时间的人都可以确定您的令牌系统如何工作并找出解决方法。

多种方法的结合将为您提供最广泛的保护。您可以查找标头、使用 .htaccess 文件以及使用令牌。这种综合上述方法使得滥用网络服务器变得更加困难——大多数滥用行为来自于人们试图找到一个容易利用的漏洞。需要记住的重要一点是，您不能因为部署了“最好”的保护而自满，或者因为您拥有如此多的保护层而似乎无法破解。如果有人真的非常想要并且有时间，他们就会找到办法。这些类型的预防措施实际上只是起到威慑作用，阻止那些懒惰、好奇和恶意的人。有针对性的攻击是一个完全独立的安全类别，通常更集中于服务器级别的安全问题。

htaccess 示例。这不会是您放在根目录中的内容，而是放在子文件夹中，其中包含永远不应该从地址栏调用的脚本：

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?_YOUR_DOMAIN_NAME_HERE.com [NC]
RewriteRule \.(php)$ - [NC,F,L]

查看这篇文章以获取有关使用令牌系统的信息：https://www.owasp.org/index.php/Cross-Site_Request_Forgery_%28CSRF%29_Prevention_Cheat_Sheet

Answer 2

您可以手动拒绝 Origin 标头与您的域名不匹配的每个请求。但是，并非所有浏览器都会发送 Origin 标头。在这些情况下，您可以回退到 Referer[sic] 标头，对其进行解析并找出域名，然后按上述方式进行比较。

一些 JavaScript 框架还为 AJAX 请求设置 X-Requested-With 标头。

这应该会拒绝很大比例的用户（我估计> 95％）。请注意，由于 同源政策，发送 AJAX 请求的唯一对象无论如何，您的域获取的是计时信息。

Answer 3

有点像 user3491125 建议的那样，您可以在进行调用的页面中设置 $_SESSION ，并在 Ajax 调用的页面上检查它是否设置了 $_SESSION['user'] 等。

Answer 4

对于user3491125的答案，您可以尝试加密会话令牌。我有一个加密功能，可以根据用户端口 80 IP 添加唯一密钥。这并不是万无一失的，但它确实让黑客变得更加困难。

function encryptString($string, $action, $baseIP = 'false', $extraKey = ''){
    global $flag;

    $encryptedIP = '';

    if($baseIP){
        $encryptedIP = encryptString(strip_tags(htmlentities($_SERVER['REMOTE_ADDR'])), 'encrypt', false);
    }

    $output = false;

    $encrypt_method = "AES-256-CBC";
    $secret_key = $flag['encrypt-key'].$encryptedIP.'-'.$extraKey;
    $secret_iv = $flag['encrypt-secret'].$encryptedIP.'-'.$extraKey;

    $key = hash('sha256', $secret_key);
    $iv = substr(hash('sha256', $secret_iv), 0, 16);

    $output;

    if($action == 'encrypt'){
        $output = openssl_encrypt($string, $encrypt_method, $key, 0, $iv);
        $output = base64_encode($output);
        $output = str_replace('=', '[equal]', $output);
    }else if($action == 'decrypt'){
        $setString = str_replace('[equal]', '=', $string);
        $output = openssl_decrypt(base64_decode($setString), $encrypt_method, $key, 0, $iv);
    }

    return $output;
}

Answer 5

这不是一个可以解决的问题。如果您创建一个网站，根据定义，您就可以公开使用该网站。
如果您希望数据保密，则需要某种登录方式。

如果没有登录/烦人的验证码，就不可能创建一个对用户开放但对脚本不开放的系统。

Answer 6

我知道这是一篇旧帖子，但目前有一种“万无一失”的方法可以避免这种情况，而且它非常简单......
首先在将进行 ajax 调用的页面中：

<?php
$token = sha1(rand(1000,9999)); 
$_SESSION['token'] = $token;
?>

然后在 ajax 脚本中

var formData = new FormData();
formData.append("token","<?php echo $token;?>");
        $.ajax({
            url: 'yourfile.php',
            type: 'POST',
            xhr: function() {
                var myXhr = $.ajaxSettings.xhr();
                return myXhr; 
            },
            success:function(data) {
                alert(data);
            },
            data: formData,
            cache: false,
            contentType: false,
            processData: false
        }); 

最后在将被调用的 php 页面中：

<?php
$token = $_POST['token'];
if($token === $_SESSION['token'] && $_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest')
{
   //Perform your stuff here...
}
?>