Existe uma solução simples que é definida através do servidor apache, para isso, você precisa ativar o Cross-Site XMLHttpRequests
no mod_headers
:
Leia mais aqui sobre como ativar cors
O que o cors domain faz?
Ele bloqueia as requisições que são feitas por outros domínios. Mas para você poder controlar suas requisições de saída, agora será preciso enviar o header
de liberação através do seu arquivo php, uma solução simples para controlar:
Usando uma classe que possibilite controle de XSS (Cross-Site Scripting):
class XSSSecurityAccessOrigin
{
private $permission_domains = array();
private $request;
private $secureProtocol = false;
private $allowAll = false;
public function __construct($request, $secureProtocol = false, $allowAll = false)
{
$this->permission_domains = array(
'www.seusite.com.br',
'www.subdominio.seusite.com.br'
);
$this->request = $request;
$this->secureProtocol = $secureProtocol;
$this->allowAll = $allowAll;
}
public function accessControlAllowOrigin()
{
$security = '';
if (in_array($this->request, $this->permission_domains)) {
if ($this->secureProtocol) {
$security = 's';
}
$this->request = 'http{$security}://' . $this->request;
return true;
} else {
return false;
}
}
public function getJSON()
{
if ($this->allowAll) {
$this->request = '*';
}
header("Access-Control-Allow-Origin: {$this->request}");
}
}
//como usar a classe
$permission = new XSSSecurityAccessOrigin($_SERVER['SERVER_NAME']);
if ($permission->accessControlAllowOrigin()) {
$permission->getJSON();
$data = $POST['request'];
echo json_encode(array('success'=>true, 'data'=>$data));
}
Esta segurança irá garantir que suas requisições sejam feitas somente pelo proprietário, ou pelos domínios que terão permissão de acesso.
Além disso, para garantir ainda mais segurança, você pode estabelecer uma validação token do tipo CSRF (Cross Site Request Forgery), isso permite verificar se a requisição partiu do mesmo local.
O Zend Framework, no caso esse é da versão 1.12, possui um plugin que permite fazer isso, segue o exemplo:
<?php
class Application_Plugin_Csrf extends Zend_Controller_Plugin_Abstract {
public function preDispatch(Zend_Controller_Request_Abstract $request) {
$csrf = new Zend_Session_Namespace('csrf-token');
if ($request->getMethod() == 'POST' && !$this->isWhiteListed($request)) {
if (!isset($_POST['csrf-token']) || !in_array($_POST['csrf-token'], $csrf->list)) {
$writer = new Zend_Log_Writer_Stream(APPLICATION_PATH.'/data/error.log');
$logger = new Zend_Log($writer);
$logger->log('Invalid CSRF: expected '.$csrf->value.' and received '.$_POST['csrf-token'], Zend_Log::ERR);
$this->getResponse()
->clearHeaders()
->setHttpResponseCode(403)
->setRedirect('/error')
->sendResponse();
}
}
}
private function isWhiteListed($request) {
$actions = array(
'error',
'url-liberada-x',
'url-liberada-y'
);
if (in_array($request->getActionName(), $actions)) {
return true;
}
return false;
}
}