Onderwerp: AJAX veiligheid

Hey mensen,

ik ben druk bezig een website met redelijk wat ajax erin verwerkt te maken. Nou is het zo dat ik voor de veiligheid de"javascript" code wil verbergen voor de gebruiker.

Want anders zien ze presies welke bestanden aangeroepen worden en dergelijke.
Dat wil ik liever niet.

Ik heb al iets geprobeert met een .htaccess alleen dan is het bestand ook niet meer benaderbaar voor de index die het js bestand include.

Wie kan hier een oplossing voor bieden?

groet nathan

Oorspronkelijk geplaatst door marsipulami

Hey mensen,

ik ben druk bezig een website met redelijk wat ajax erin verwerkt te maken. Nou is het zo dat ik voor de veiligheid de"javascript" code wil verbergen voor de gebruiker.

Want anders zien ze presies welke bestanden aangeroepen worden en dergelijke.
Dat wil ik liever niet.

Ik heb al iets geprobeert met een .htaccess alleen dan is het bestand ook niet meer benaderbaar voor de index die het js bestand include.

Wie kan hier een oplossing voor bieden?

groet nathan

Je kunt de include dir password protected maken...

Oorspronkelijk geplaatst door Cybafish

Je kunt de include dir password protected maken...

op het moment dat mijn javascript die dir aanroept krijg ik oko de popup om in te loggen.

dat is niet wat ik bedoel.

en daarnaast gewoon zorgen dat je in je javascript (clientside) EN je aanroep (PHP) (serverside) checks op de input doet.

Je kunt er ook voor kiezen om puur een ajax.php file te maken die slechts beperkte toegang tot andere functions heeft naast die htaccess tip van Cybafish.

Sowieso, als het een beetje degelijk in elkaar zit dan doet je PHP file al het spannende werk en weet alleen je PHP file waar de database staat. (of dat nu XML of SQL is)

Als de gebruiker het net kan zien, kan de browser het ook niet. Dat wil dus zeggen dat er dan ook geen ajax request op kan roepen.

Beveiligen doe je ook niet op bestandniveau.

hmmm jammer, dan moet ik maar gewoon goed programmeren bedankt voro de reacties

Dat lijkt me sowieso raadzaam

Ik gebruik in zo'n situatie een jquery-ajax script wat alles via POST afhandelt. Het php script dat aangeroepen wordt, is dus niet voor GET requests te gebruiken. Als je dan in PHP checkt vanaf welke root dir / bestand de request komt heb je al heel veel aan beveiliging ingebouwd.
Verder sluit ik me aan wat hierboven al staat.

okay thnx voor de tip

POST only is ook een hele goeie ja

Ik pak altijd prototype, heerlijk spul

Maar wel even een opmerking over POST,
Dit is dus door iedereen te doen en is echt scheinveiligheid, het enige wat dan niet kan is zomaar de url aanpassen. Maar een post uitvoeren is kinderspel (zijn ook FF plugins voor)

Triloxigen > klopt, maar waar het me om gaat, is dat er niet via de url script.php?var=val ingevoerd wordt. Als je dan daarbij referer check doet ben je toch rond? of mis ik iets..

Je bent dan zeker nog niet rond, referer is gewoon een HTTP header die door de bezoeker/client gemakkelijk aan te passen is.
Als je in firebug de console aanzet zie je alle POST ajax request voorbij komen.

ja Maarten ik mis ook iets denk ik ... kijk dat je zelf POST (headers) kunt maken/spoofen ok prima, maar dat is toch net ietsje meer werk dan alle GET's uitlezen en gewoon die url bezoeken ..