[AJAX] xhr_object / protéger réception de l'objet (sécurité)
Bonjour à tous, je suis confronté à un (énorme) problème et vous remercie de porter de l'attention à ces quelques lignes.
#Explication compliquée
La situation : Lors d'un click sur un lien, j'appel une fonction JavaScript qui envoie un objet en post à une page php.
Code:
1
2
3
4
| xhr_object.open("post", "gg.php", true);
...
xhr_object.setRequestHeader("Content-type", "application/x-www-form-urlencoded");
xhr_object.send("id=un-id"); |
Le problème : Une requête sql s'effectue dans la page appelée, en fonction des paramètres envoyés. N'importe quel utilisateur malveillant peut donc reproduire le click, en passant par les headers HTTP.
La solution ? En déclarant une variable dans la page où les liens sont effectués, en vérifiant si elle existe dans la page appelée. (avoir un élément à contrôler et qui ne vienne pas du javascript accessible à tous)
Le problème de cette solution : Mon objet (xhr) inséré ne peut détecter la présence des variables déclarées dans la page.
L'objectif : trouver une autre solution... Pour 100 sous !
#Explication simple
Lors d'un click sur un lien, j'aimerai charger une requête php qui incrémente un nombre en bdd. la page ne doit pas se recharger, J'appelle donc à chaque click la page. Comment faire passer une variable à cette page sans lui envoyer par javascript?
Merci d'avance, même une piste serait la bienvenue...
