[gelöst] AJAX-Aufrufe identifizieren?

[pekka]

Kennt jemand einen Browserunabhängigen, serverseitigen Weg, AJAX-Aufrufe (im Unterschied zu "normalen" Browseraufrufen über die Adreßleiste) zu identifizieren?

[unset]

Die meisten Bibliotheken senden einen X-Header mit. Prototype zum Beispiel X-Requested-With.

[combie]

Wenn der "Aufrufer" nicht mitspielt, dann kannst du das im PHP auch nicht feststellen. Und selbst dann kann die Angabe von einem Angreifer gefälscht sein.
Also: Keine Chance!
Verwende Sessions und eine Authentifizierung. Mehr geht nicht wirklich.

[pekka]

Die meisten Bibliotheken senden einen X-Header mit. Prototype zum Beispiel X-Requested-With.

Das wußte ich nicht, danke. Muß mal schauen, ob meine das macht.

Und selbst dann kann die Angabe von einem Angreifer gefälscht sein.

Das macht nix, es geht nur um Dinge wie korrekte Ausgabeformate usw. Sicherheitsrelevant darf die Ajax-Abfrage nicht sein, das ist klar.

[Breezzer]

hallihallo....nach langer abstinenz melde ich mich mal wieder zurück und muss diesen interessanten link ausgraben.

wie man den ajax-call identifizieren kann, wurde hier ja bereits gezeigt. allerdings funktioniert das (zumindest mit jquery) nur für GET-requests.

wie kann ich feststellen, ob eine POST-anfage per ajax kommt oder nicht? weiß darüber auch jemand bescheid? wäre spitze

viele grüße
Breezzer

[AmicaNoctis]

Hallo,

das geht genauso, z. B. mit jQuery.ajax() – jQuery API

Noch besser: versende die Daten als application/json oder application/xml, denn Browser werden es i. d. R. immer als multipart/alternative oder application/x-www-form-urlencoded schicken, was sich mit PHP leicht feststellen lässt.

Gruß,

Amica

[Breezzer]

gute antwort amica. vielen dank! das hilft mir natürlich schonmal weiter - eine andere möglichkeit gibt es ja wohl nicht, zumindest nicht solch eine wie für GET (also über die headerinformation...firebug zeigt zumindest für ajax-posts und "normale" posts die gleichen infos. schade)

nochmals tausend dank!

[wahsaga]

eine andere möglichkeit gibt es ja wohl nicht

Du hattest keine Lust, die Doku zu jQuery.ajax zu lesen, hm?

Dort steht doch beschrieben, dass man Header selber nach Belieben setzen kann …

[Breezzer]

oh gott (noch darf ich das sagen, mein kirchenaustritt wird erst im september offiziell... ), was habe ich denn da gemacht. ich stand gestern wohl ziemlich aufm schlauch, als ich die doku durchsucht habe...deshalb erst recht: herzlichen dank