Como restringir o acesso direto a arquivos chamados por Ajax

Ao utilizar Ajax para invocar código PHP, conforme ilustrado na consulta, os dados sendo transmitido pode ser vulnerável à exposição através do exame dos cabeçalhos da solicitação. Embora os dados possam não ser confidenciais, seu potencial de exploração permanece.

Para resolver essa preocupação, uma solução comum envolve a utilização do cabeçalho HTTP_X_REQUESTED_WITH. Este cabeçalho, normalmente definido por solicitações/estruturas Ajax, permite a diferenciação entre solicitações Ajax e não Ajax. O trecho de código a seguir mostra sua implementação:

if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && ($_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest')) {
    // Allow access within Ajax requests
} else {
    // Block access outside of Ajax requests
}

No código Javascript, você pode definir este cabeçalho manualmente:

var xhrobj = new XMLHttpRequest();
xhrobj.setRequestHeader("X-Requested-With", "XMLHttpRequest");