Ajax によって呼び出されるファイルへの直接アクセスを制限する方法

クエリに示されているように、Ajax を利用して PHP コードを呼び出す場合、データ送信されるメッセージは、リクエスト ヘッダーの検査を通じて暴露される可能性があります。データは機密ではないかもしれませんが、悪用される可能性は依然として残っています。

この懸念に対処するための一般的な解決策には、HTTP_X_REQUESTED_WITH ヘッダーの利用が含まれます。このヘッダーは通常、Ajax リクエスト/フレームワークによって設定され、Ajax リクエストと非 Ajax リクエストを区別できるようになります。次のコード スニペットは、その実装を示しています。

if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && ($_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest')) {
    // Allow access within Ajax requests
} else {
    // Block access outside of Ajax requests
}

JavaScript コードでは、このヘッダーを手動で設定できます。

var xhrobj = new XMLHttpRequest();
xhrobj.setRequestHeader("X-Requested-With", "XMLHttpRequest");