このajaxからphpスクリプトを呼び出す

Question

私は私の問題をGoogleにしようとしましたが、私の質問に正確には分かりません。ユーザーが自分のサイトで特定のイベントを実行すると、 mysqlデータベース内の他のユーザーのクレジット：

function incrasecredit(){ 
    $.ajax({ 
    type: "POST", 
    url: "/increasecredit.php", 
    data: {}, 
    success: function(html) { 
    } 
    }); 
    } 

...簡単です。問題は（このスクリプト名が示すように）このイベントが "クレジットシステム"/moneyに接続されていることです。だから私はそれが安全でなければならないと思う。 "/increasecredit.php"には他の方法でアクセスしないでください。例えば。単にブラウザ経由で実行するだけです。この特別なケースでのみ、私はjqueryのスクリプトでそれを呼び出す。より正確には、ユーザーがiframeをクリックしたときにincrasecredit（）を実行する必要があります。そして、この場合のみ。このスクリプトを間違った方法で実行しないようにするにはどうすればよいですか？私はトークンでそれを解決しようとしましたが、まだそれを把握していませんでした。私はもっ​​と大きな写真を撮っていないと感じています。前もって感謝します。

Answer 1

あなたのページにCSRFトークンを実装して、正規のメカニズムを介してリクエストがあなたのウェブサイトから発信されていることを確認する必要があります。これは、ユーザーセッションクッキーに格納されたトークンと一致する必要があるPOST要求と共に渡される1回のみのトークンを持つことにまで沸きます。このトークンは、しばらくしてから自動的に期限切れになります。

さらに、バックエンドは、トランザクションを承認するために何らかのACLを実装する必要があります。ユーザーの役割は、認証されたユーザーのセッションを通じて確認できます。