Szukam, googluje - nie mogę znaleźć... może ktoś wie, jak zabezpieczyć pliki które inkluduje w ajaxie, aby nie mogły być odpalone, choćby poprzez wpisanie adresu do nich w przeglądarce ?



chodzi mi o to ze jak wpisze domene/ajax/dzialam.php pliku to jest dostęp do katalogu i pliku....

dodanie .htaccess w katalogu z inkludowanymi plikami skutkuje tym że ajax przestaje działać. i nerwy już puszczają.

dzięki za każdą pomoc

sprawdz na poczatku czy istnieje zmienna POST.

spróbuj

[PHP] pobierz, plaintext 
public static function is_ajax()
{
	return (isset($_SERVER['HTTP_X_REQUESTED_WITH']) AND strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) === 'xmlhttprequest');
}
[PHP] pobierz, plaintext 

ale gwarancji raczej nigdy nie będziesz miał

tak sprawdzam oczywiście czy jest odpowiedni $_POST

ale nie wydaje mi się żeby to było wystarczające zabezpiecznie.




ehhh powiem szczerze że jeszcze nie jestem zbyt oblatany z ajaxem, w jaki sposób mam wykorzystać te funkcję ?

jeśli nie ma gwarancji, to po co ten cały ajax ;(

Szczerze mówiąc to chyba nie jest możliwe - wywołujesz plik ajaxem czyli wysyłasz zwykłe żądanie - to tak jakby przeglądarka zażądała określonego zasobu. Możesz pokusić się o jakieś utrudnienie - np. w normalnym html wstawić np. hash z czegoś generowany (hash treści?) i zapisać go w sesji PHP. Następnie zmodyfikować skrypt by wysyłał ten hasz razem z ajaxem - weryfikujesz po stronie dzialam.php i jeśli go nie ma to dajesz die(). Ale to też jest do obejścia.

[PHP] pobierz, plaintext 
if( !is_ajax( ) ) exit;
[PHP] pobierz, plaintext 

a kto powiedział, że zadaniem ajaxa jest dostarczenie zabezpieczenia?

Zawsze coś się da zrobić. Możesz pliki wywoływać w nie tak oczywisty sposób. Np.:

[JAVASCRIPT] pobierz, plaintext 
 
url : 'akcja/kontrolera/bez/php/na/końcu';
 
[JAVASCRIPT] pobierz, plaintext 

.
Potem w odpowiednim pliku parsujesz taki url, który przekłada się na np. folder/plik/funkcję którą chcesz wywołać.

Bełdzio w dobrą stronę drąży. AJAX jest wysyłany z pewnymi nagłówkami. Co prawda zawsze można je spreparować, ale tego zwykli użytkownicy nie zrobią. Wystarczy ową funkcją sprawdzać czy żądanie je zawiera.

dzięki za wszystkie podpowiedzi i wyrozumiałość.