Para que serve e qual a importância deste tradicional método setRequestHeader
do AJAX puro quando são feitas requisições do tipo POST pelo cliente para uma aplicação PHP no servidor? Sempre sou obrigada a usa-lo com o valor "Content-Type","application/x-www-form-urlencoded"
sem saber ao certo sua real função. Também gostaria de saber as falhas de segurança já conhecidas pela comunidade que podem ser causadas no servidor caso o PHP eventualmente receba um cabeçalho com valor diferente deste que, para mim que sou leiga, é um valor padrão. Sua utilização é obrigatória?
1 Resposta
XHR().setRequestHeader
serve para definir um cabeçalho na lista de cabeçalhos da requisição. Quando você chama ele dessa maneira:
xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded")
você está definindo o tipo de conteúdo que vai atribuir na requisição do método "post"
ou "put"
, lá no primeiro parâmetro de XHR().send
. O tipo de conteúdo "application/x-www-form-urlencoded"
só indica que o conteúdo está no formato de parâmetros de URL, por exemplo: "?param=1&etc=2"
Cabeçalhos sempre são usados em requisições, nunca há risco de segurança para o servidor.
Verifique essa página, ela lista cabeçalhos que podem ser definidos em uma requisição. Observação: nem todos cabeçalhos podemos definir programaticamente com o método XHR().setRequestHeader
.
Não há risco de segurança em relação à cabeçalhos. Não existe essa coisa de não enviar cabeçalhos, e além disso eles não podem afetar o servidor.
Para obter mais informações ainda, há uma especificação sobre o XMLHttpRequest
aqui.
O que pode afetar o servidor depende de suas ações.
-
1Praticamente respondida a pergunta, mas com exceção da segurança. Existem falhas conhecidas pela comunidade e como poder proteger o
callback
de receber os dados enviados pelo AJAX com uma lista de cabeçalhos configurada errada ou propositalmente trocada? Afinal, tudo que vem do lado dos usuários deverá sempre ser muito bem verificado. Como confiar? Obrigada =) Commented 18/09/2016 às 22:07 -
1@IngridFarabulini Apenas você pode dar a possibilidade de fazer um código que pode ser facilmente manipulado, algo que possa permitir alguém modificar um banco de dados ou configurações do servidor, modificar arquivos, etc... Se você quer que isso não aconteça, você precisa codificar suas Strings de acordo com o que elas serão mescladas (sempre importante na síntaxe de fazer uma ação no banco de dados com uma String, por exemplo,
INSERT...
), até porque lá pode ser juntada uma ação extra, então é isso... se você codificar uma string, ela não será interpretada.– user37626Commented 19/09/2016 às 0:58 -
1@IngridFarabulini É importante limitar determinadas ações com condições, porém eu não sei que tipo de problema de segurança você está tendo, sendo assim é difícil ajudar à resolvê-lo.– user37626Commented 19/09/2016 às 1:33
-
1Não estou tendo nenhum problema... mas não confio nesses cabeçalhos. Obrigada por estar tentando ajudar =) Commented 19/09/2016 às 1:45
-
1@IngridFarabulini Eu entendo, mas na verdade o navegador sempre tem que mandar cabeçalhos para uma requisição, se eles fossem perigosos, muitos sites já teriam sido manipulados. Os cabeçalhos que podem ser definidos por nós não causam problemas de segurança ao lado do servidor.– user37626Commented 19/09/2016 às 9:25