protéger mes méthodes dédiées ajax

Bonjour,

je développe une application en MVC dans laquelle j'ai des appels ajax. Je me pose la question suivante, comment faire pour que les méthodes dédiées aux appels ajax ne soient pas utilisable directement...

Par exemple, l'action getelementAction de rechercheController fait une recherche d'éléments dans une table de la BD. C'est un objet xhr du script JS qui appelle l'url : http://mondomaine.com/recherche/getelement

Par contre, cette action ne renvoie que des données brutes puisque l'affichage se fait au travers du JS qui traite le retour de la requête. Du coup, n'importe quel utilisateur peut appeler cette même url dans un navigateur et se retrouver avec une page non formatée. Comment éviter cela ?

Merci de vos conseils !

La solution "classique" est d'utiliser des en-têtes X-Requested-With pour distinguer les demandes AJAX des autres.
Néanmoins, c'est comme vouloir empêcher de récupérer les images d'un site : quelqu'un qui s'y connait un minimum saura recréer la requête et appeler ton script.
D'autant que s'il a les connaissances suffisantes pour savoir quelle URL est appelée, alors il saura facilement contourner la limitation. Quant à ceux qui ne savent pas contourner cette limitations, il y a peu de chances pour qu'ils sachent ce qu'est AJAX et donc qu'une requête AJAX a été envoyée, bref, c'est pas eux qui te poseront problème.

Donc, comme toujours avec ce type de demande, la bonne question à se poser, c'est surtout pourquoi tu veux t'embêter avec ça...

Tu peux faire quelque chose comme ça :

Code:

---

1 2 3 4 5 6 7 8 9

function isXmlHttpRequest() { $xhttp = $_SERVER['HTTP_X_REQUESTED_WITH']; if(!empty($xhttp) && strtolower($xhttp) == 'xmlhttprequest') { return true; }   return false; }

---

Mais comme le précise Bovino, ca n'as pas grande utilité si c'est pour te protéger des utilisateur. Ca peut avoir de l'intérêt en revanche pour indiquer aux autres développeurs qu'ils doivent utiliser une requête ajax et non pas une requête classique.