Restringir acceso a una pagina llamada por ajax

[truman_truman]

Hola voy al grano:

Estoy en el index.php e incluyo por medio de ajax otro archivo así:

$.get("modulos/resultados.php?random=" + Math.random()*99999,..........


Todo bien, pero como restrinjo el acceso si alguien coloca en el navegador la url:

http://.mi-sitio.com/modulos/resultados.php


como evito que vean el contenido?

Espero que puedan ayudarme, gracias.

[Sourcegeek]

Existen varios métodos... Puede ser cargando una sesión en index.php y checar su existencia en resultados.php
También enviándole un parámetro a resultados.php por get, o enviándoselo por post.

Hay muchas formas, analizando la situación un poco puedes llegar a tu conclusión y opción que más se ajuste a lo que necesitas

Saludos

[truman_truman]

Iniciado por Sourcegeek

Existen varios métodos... Puede ser cargando una sesión en index.php y checar su existencia en resultados.php
También enviándole un parámetro a resultados.php por get, o enviándoselo por post.

Hay muchas formas, analizando la situación un poco puedes llegar a tu conclusión y opción que más se ajuste a lo que necesitas

Saludos

1-A ver, si cargo una sesión en index , cuando entre a resultados.php tambien existirá, entonces no sirve, o estoy equivocado?

2- si envio parametro , mirando el codigo fuente también cualquiera podría enviarlo. o no?

[Sourcegeek]

Claro, tienes razón, pero en ambos casos se puede complementar con algunos datos insertados en la base de datos y crear una especie de token. Cuestión de que analices todo, como ya lo dije.

Saludos

[truman_truman]

la verdad no se me ocurre como,por favor, podrías ser más claro ?

[truman_truman]

Esto, con PHP parece NO tener solución, ya estuve investigando

[GatorV]

Tienes que aprender cosas básicas, para PHP un request HTTP es un request HTTP, desde donde venga del cliente, no discrimina si es desde AJAX o no a menos que el cliente se lo informe.

Muchos FWs existentes en JS envian una cabecera extra XMLHttpRequest indicando que el request es AJAX, así que puedes verificar en PHP, que si el request no incluye la cabecera XMLHttpRequest no muestras el contenido.

Un ejemplo sencillo:

Código PHP:

/**
 * 
 * Checks if a request is a AJAX request
 * @return bool
 */
function isAjax() {
    return (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && $_SERVER['HTTP_X_REQUESTED_WITH']  == 'XMLHttpRequest');
}
 

Claro esto depende de que el cliente mismo te indique que el request es AJAX, de otra manera no es posible discriminarlo.

Usar un token o una sesión no son herramientas efectivas, ya que como te digo, al final todos son requests HTTP que van desde el cliente (browser) al servidor y para PHP es imposible saber de donde fue hecho el request si el cliente mismo no se lo provee.

[truman_truman]

Gracias GatorV, te agradezco mucho la ayuda

[enrique4480]

de todos modos como ya te han dicho, eso no va a solucionar el problema. el cliente puede mandar la cabecera para que creas que se hace desde ajax y entrar por la url normalmente.

[truman_truman]

Iniciado por enrique4480

de todos modos como ya te han dicho, eso no va a solucionar el problema. el cliente puede mandar la cabecera para que creas que se hace desde ajax y entrar por la url normalmente.

si ye se, pero tampoco necesito tanta seguridad en el sitio que estoy construyendo, gracias

[quedecosas]

Yo como lo he hecho es igual que como lo dice enrique

pero defino una constante en mi config

Código PHP:

define('IS_AJAX', isset($_SERVER['HTTP_X_REQUESTED_WITH']) && strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest');
 

y en la página que lo quiera usar, ya hago if (IS_AJAX)


solo como dato

saludos!