4

Tenho um arquivo javascript que faz requisições ajax pra minha API só que eu não quero que ninguém descubra o link dela há alguma forma de bloquear o acesso a este arquivo ?

Se não tem alguma forma de liberar para somente o site poder acessar ?

2 Respostas 2

6

No momento que a requisição AJAX é realizada, sempre será possível rastrear. Pois, a origem da requisição é feita no cliente. Logo, o que pode ser feito é fazer uma validação no servidor.

Exemplo:

Vamos supor que você está fazendo a requisição do site: http://www.testandoapi.com.br/index.php

No arquivo index.php, você pode ter uma instrução em PHP que verifica se a origem da requisição é www.testandoapi.com.br.

<?php
  if( $_SERVER['HTTP_ORIGIN'] === 'www.testandoapi.com.br' ){ 
     //seu codigo aqui
  }
?>

Isso fará que somente requisições vindas do domínio www.testandoapi.com.br, sejam executadas.

Obs.: A solução acima não é imune a falhas, existe outras vertentes que devem ser levadas em consideração.


Complementando a solução acima, você pode trabalhar com Token também. Mas para isso, será necessário definir alguns critérios:

  1. Se vai ou não gerar o Token, para todos que acessarem o site.
  2. A periodicidade do Token.

Pode ter outros itens a definir, vale levar em consideração o contexto que sua API vai ser utilizada.

10
  • Consegui já fiz bem isso $site_ = $_SERVER["SERVER_NAME"]; 8/06/2015 às 2:23
  • Apesar da solução, não acho nada confiável fazer dessa forma. Principalmente porque normalmente quem vai querer fazer requisição vai ser uma pessoa experiente e que facilmente consegue burlar isso. 8/06/2015 às 2:25
  • 1
    @MaiconCarraro, concordo com você. Para criar uma solução mais elegante, teríamos que entender o porque dessa segurança e o contexto da API e sua utilização. 8/06/2015 às 2:29
  • 1
    Eu criaria um Token único e passaria sempre na requisição, é mais seguro do que simplesmente verificar um campo texto na requisição 8/06/2015 às 2:30
  • 1
    HTTP_ORIGIN é um recurso novo oferecido pelo Google Chrome.. Outros browsers não suportam. Além do mais, não reconhecido por servidores.. é preciso instalar um módulo específico para suporte. O problema maior é, o efeito é o mesmo de HTTP_REFERER. Pode ser manipulado facilmente. E mais um problema ainda maior, numa requisição legítima, o valor de HTTP_ORIGIN ou HTTP_REFERER pode vir vazio. Então estaria bloqueando uma requisição legítima. O JavaScript precisa ser lido de qualquer forma. Tudo que tentar fazer para bloquear o acesso é em vão. No máximo, vc pode dificultar com obfuscação. 8/06/2015 às 5:40
0

Você deve prover segurança no lado servidor, autorizando somente quem possa ter acesso a ação do endereço. O "link" pode ser descoberto de qualquer maneira quando for feita a requisição do usuário, bastando o interessado monitorar as requisições no próprio navegador.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .