防止直接访问通过AJAX访问的文件

通过AJAX请求访问PHP文件时，例如“func.php”，直接访问该文件可能会引起安全问题。为了解决这个问题，实现一种区分 AJAX 请求和直接访问尝试的机制至关重要。

一个有效的解决方案是利用“HTTP_X_REQUESTED_WITH”服务器变量。大多数 AJAX 框架将此标头设置为“XMLHttpRequest”，提供了一种区分真正的 AJAX 请求和直接浏览器访问的方法。此标头检查可以在 PHP 文件中实现，如下所示：

if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && ($_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest')) {
    // Allow access...
} else {
    // Ignore or deny access...
}

通过实施此检查，您可以确保只有合法的 AJAX 请求才能访问指定文件，从而防止未经授权的直接访问。

此外，为了增强安全性，您可以手动设置使用以下 JavaScript 代码在 AJAX 请求中添加“X-Requested-With”标头：

var xhrobj = new XMLHttpRequest();
xhrobj.setRequestHeader("X-Requested-With", "XMLHttpRequest");

这一步进一步加强了对直接文件访问的保护。