[請益] 讓網頁只能讓透過ajax取資料 不能直接連

[s861175 (s861175)]

讓網頁只能讓透過ajax取資料 不能直接連

想做一個網站，user只需要訪問index.php這一頁，不需換頁就可查到所有資料，

而index.php上所有的動態資料都由ajax去跟其他php網頁要(例如 1.php、2.php...等)，

請問，像1.php、2.php這些只負責餵資料給index.php的網頁，可否不讓user直接連，

我知道可以利用$_SERVER['HTTP_REFERER']來綁定上一頁的來源，但是這可以被偽造，

請問還有其他更安全的避免他人直接連結網頁的作法嗎？

謝謝

--
※ 發信站: 批踢踢實業坊(ptt.cc) 
◆ From: 61.67.145.120
推 kuAIpAI:如果是我 我只會限制進入資料格式~而不會想去封鎖讓他直連
→ kuAIpAI:不然你就在AJAX 傳值裡面傳入ㄧ個認證數據 去做認證
→ kuAIpAI:ㄧ但發現 數據不符合你格式 就直接中斷掉 不給他連~
→ kuAIpAI:格式例如MD5('我很帥') 另外一邊要是接收不到這句 就不run
→ kuAIpAI:以上也是我單純的想法 如果有大大有更好做法歡迎提出~
→ MOONRAKER:md5('我很帥')執行一次就會被拿來玩replay attack
→ MOONRAKER:有加跟沒加一樣…
→ chrisQQ:如果真要做，那就做類似 otp 的模式吧
→ chrisQQ:讓網址變成一次性，不過如 ajax 板的推文。
推 kuAIpAI:就在多的防禦 也會有在多的攻擊~ 就看自己平衡點該設在哪~
→ MOONRAKER:平衡點勒 防replay attack是基本好嗎
推 kuAIpAI:所以..在基本完後 你能教ㄧ下原PO 要怎樣防禦嗎?
→ kuAIpAI:怎麼很煩的是 回答了又要被說papa 我就說概念而已~
→ kuAIpAI:只是大概給他方向 搞得好像回答得不是正確答案
→ kuAIpAI:本來就是要慢慢的學習 你跟他講ㄧ堆 他也不ㄧ定知道那是
→ kuAIpAI:什麼 他該怎樣防禦吧~ 奔走~
→ Canboo:MOONRAKER大大回這三行對這篇的貢獻度是0
推 kusoayan:http://goo.gl/j2PuO 可以看一下 replay attack