4

Tenho um arquivo .php que carrega e exibe todas as notícias do meu banco de dados, uso esse arquivo para carregar as notícias dinamicamente com AJAX. Até ai tudo bem, o usuário pode ir normalmente na página index.html e ver as notícias que foram carregadas via AJAX e PHP, mas o usuário também pode ir na página noticias.php e ver todas as notícias da página. Porém eu não queria isso, não tem como o PHP retornar dados para o AJAX ou algo do tipo? Para que o usuário não possa acessar diretamente o noticias.php?

0

2 Respostas 2

6

O que pode fazer verificar é em relação a HTTP_X_REQUESTED_WITH

if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) 
    AND strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest') {
    // se entrar aqui é uma chamada ajax
}
2
3

Concordo com a resposta do Marcelo Diniz no entanto quero dizer que a resposta pode de ser um pouco mais completa.

Para tornar a solução mais robusta além da verificação do HTTP_X_REQUESTED_WITH deverá ser também verificado o HTTP_REFERER pois assim poderá ser verificada a origem do request.

exemplo:

if($_SERVER['HTTP_REFERER'] != $_SERVER["HTTP_HOST"].$_SERVER["REQUEST_URI"])
{
    header ("Location: index.php");<br>
}

Convém referir que ambas as situações podem ter conteúdos específicos pois se alguém mal intencionado assim o entender, estas duas variáveis podem ser facilmente falseadas. No entanto é sempre de aplicar pois despista a maior parte dos casos.

Quando a solução requer algo mais profissional, então aconselho trabalhar com Sessions e umas das variáveis irá conter um TOKEN diferente a cada chamada, desta forma o sistema tornou-se interno e quase impossível de falsear... mesmo com SessionHijacking.

1
  • obrigado Marcelo pela correcção na formatação do código presente na resposta
    – chambelix
    26/08/2014 às 16:34

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .