[AJAX] Sécurité avec AJAX

**Oluha** · 05/07/2006, 11h37

Bonjour

Je poste ma question ici suite à ce topic :
http://www.developpez.net/forums/sho...31#post1132931

Comme vous pouvez le voir, je souhaiterai donner accès à un de mes modules AJAX à un client. Je ne souhaite pas qu'il ait accès à ma bdd, je pense donc garder mes pages ASP chez moi.
J'ai fais des tests sur 2 serveurs. L'un, représentant le client, a en local une page PHP (le formulaire du client), une page HTML qui est en fait le bout de formulaire de mon module, qu'il intègre dans son PHP avec un include, et une page .js, contenant mon code AJAX. Sur l'autre serveur, j'ai mes pages ASP et ma bdd.
Le .js appellent mes pages ASP sur mon serveur.

Dans internet explorer, mon module fonctionne mais j'ai une alerte de sécurité qui s'affiche (comme quoi il ne controle pas les données de la page). Sous firefox, ca ne fonctionne pas et dans la console javascript il me met permission refusée sur xmlhttprequest.open

Une idée de comment résoudre ce soucis ?
Il est impératif que le client n'ai pas accès à mes pages ASP car il ne doit pas connaitre l'adresse et le mot de passe de ma bdd.

Merci !

**FremyCompany** · 05/07/2006, 12h26

Si tes pages ne sont pas sur le même serveur (url), alors il faudra que tu passe par une redirection PHP/ASP/ASP .Net/JSP/...

En effet, deux choses sont interdites :
- AJAX en local ("C:\\X\\Y.Z")
- AJAX sur un autre serveur ("http://www.serveur1.com") pour une page de "http://www.serveur2.com"

PS : Bien sur, chaque navigateur a sa finesse...
IE : n'autorise pas AJAX en locale, et ne donne pas d'avertissement
demande l'autorisation pour AJAX sur un autre serveur
FF : autorise AJAX en locale (c'est un peu fou)
interdit et ne donne pas d'avertissement l'AJAX vers un autre serveur

**Oluha** · 05/07/2006, 13h53

ok, donc comme j'appelle avec AJAX des pages vers un server distant, normal d'avoir ce problème

Par contre je n'ai pas compris ta solution avec une redirection, pourrais-tu me donner plus de précisions ?
Sinon quelle autre solution possible ?

Merci

**FremyCompany** · 05/07/2006, 14h29

Explication :
Tu crée une page web nommée redirect.ext
Cette page web (dont ext est l'extension requise pour ton langage serveur (.php, .aspx, ...)) lit une donnée GET nommée "RedirectUrl" qui contient le chemin vers la page web que tu veux appeler

Code :

Sélectionner tout - Visualiser dans une fenêtre à part

(ex : escape("http://www.autreserveur.com/ajax/data.aspx"))

et appelle cette page en lui envoyant toutes les données POST et GET qu'elle a recue
Comme les langages serveur acceptent sans problème cela, c'est ok !

Sinon, tu peux toujours faire un redirect depuis la configuration de ton serveur
ex :

"http://monserveur1.com/serveur2/index.php"
renvoie à
"http://serveur2.com/index.php"

J'espère que j'ai été suffisamment clair

Si tu as des problèmes, n'hésites pas !