Ajaxové šílenství

john:
Ale to přeci vůbec není věc ajaxu. Pokud by si to posílal normálně, tak by si to musel ošetřit.

To je celekm jedno, ale pokud by si to stavěl bez ajaxu, tak by si to přeci také musel zabezpečit, ne? Můžeš si třeba hlídat čas posledního odeslání příspěvku.

john:
„jakto.. kdybych to posílal normálně tak tu akci nenapíši ve firebugu takto se to dá ve firebugu snadno zapsat a skript běží a ajax nekouká na to že je to napsáno z firebugu“

To je snad jedno ne, tak by si to odesílal jak? Klasicky formulářem metodou GET, kde by sisi předával ID uživatele? Tak místo Firebugu bych si napsal vlastní skript, který bych ti posílal na tu URL.
Tak to ajaxem neposílej metodou GET ale POST, ale stejně to neřeší nic na tom, že tohle musíš mít ošetřený na straně serveru.

john:
„a kdybych hlidal cas napr na 1min. tak i tak kdyz budu sedet u firebugu a po minute dam spustit tak to je uplne to same“
Ale to přeci nejde vyřešit, tady se nebavíme o Firebugu, ale o zabezpečení aplikace. Pokud to někdo záměrně bude chtít napadnout, tak to prostě napadne.

Jak chceš odlišit, jestli ti někdo napíše 20 zpráv za minutu přes skript ze stránek, nebo přes firebug?

john:
Já používám ajax celekm dost a nemyslím si, že by to šlo nějak napadnout. Pořád to je stejná komunikace a musíš řešit to samé zabezpečení. Akorát to probíhá bez refreshe stránky. Ale furt to je to samý. Nějaký data se odesílají a někde se zpracovávají. Kudy tam tečou je celkem jedno.

Já mam třeba u složitějších výpisů hlídaný časy požadavků, takže kdyby mě bombardoval třeba každou vteřinu, tak mu budu posílat nacachovaný data, dokad neuplyne nějaká moje stanovená doba. Ale to si hlídá aplikace na straně serveru.

john:
„například nějakým zákodováním nebo tak něco nějaké zakódování url či tak něco.. neřikejte mi, že spam webů s ajaxem je tak jednoduchy...“
Ale furt nechápu, co chceš řešit. Pokud to chápu, tak máš nějaký chat, kde ajaxem vkládáš pomocí ID uživatele zprávy. Tak si jeho ID ulož do SESSION a nepředávej to ID vůbec v parametru. Já si třeba u citlivějších věcí předávám POSTem jen klíče pole SESSION, ve kterym jsou pak už pod klíčema uložený ty data.

Takže buďto přidělíš uživateli po vstupu (nebo přihlášení) do SESSION jeho ID, enbo musíli být předáván nějaký parametr, který se třeba váže k prvkům na stránce, tak si ho uloždo pole. $_SESSION["tajneID"][1]=9856;

john:
Ale tak to snad maj zabezpečené každý průměrný stránky a není to jen tím, že je doba AJAXu a Firebugu. Tak si nepředávej nic GETem a ulož si všechno do SESSION.

john:
Mam třeba portál, kde má uživatel různý počet widgetů, který mají ajaxový refresh. Každý widget má svoje ID. Ale abych to ID uživateli neukazoval, tak jsou uloženy v SESSION jako hodnoty v poli.

Čili:


V HTML má každý svůj widget div s ID jeho klíče.


a ajaxem si volám skript, kde mu předám všechny hodnoty ze session, on mi k nim vrátí výsledky a ty si JSONem vrátim zase s klíčema těch ID, a podle toho je přiřadím k těm widgetům.
Navíc mi XMLRPC rozhraní hlídá požadavky na různý widgety, takže některé mohou mít refresh jednou za minutu, další jednou za 10 minut. Podle toho vracim čerstvý data, nebo jen cache.

john:
Tak tahle metoda je na výpis dat. Potřebuje zapisovat? Tak si postem předávejte to co napíše a kontrolu opět provádějte pomocí SESSION. Třeba si ukládejte poslední čas příspěvku.


Ber to jen takovej rychlej nástřel.

john:
„když budu zapisovat zprávu tak ověřím zda vůbec je naplněna a poté.?“
No záleží co potřebuješ zabezpečit. Přidávání počtů zpráv za minutu? Tak viz předešlý příspěvek. Nebo něco jiného?

john:
Na straně serveru si ohlídáš, jestli není prázdná SESSION a inputy a zapíše. Co víc chceš ochránit?

john:
„přišel jsem na to že zabezpečení je horší než samotné sestavení aplikací.... tak díky ;-)“
Spíš to spolu úzce souvisí.

john:
Nejsi zrovna dvakrát chápající ;-).

Proste při uložení příspěvku si do sešny ulož čas a při dalším uložení ten čas zkontroluješ proti aktuálnímu času. A pokud bude rozdíl větší než tebou nastavený (třeba 30s tak vypíšeš SPAM, asi robot, nebo nepiš tak rychle uživateli, v opačném případě příspěvek uložíš)

john:
mktime()
Ty statusy tam mam víceméně pro sebe, podle toho se rozhoduju, co aplikace udělá.

john:
Tak už mě napadlo, že by sis to mohl domyslet, když sem to nazval $json["status"]. Ale ano, potom proženu všechno funkcí echo json_encode($json); a pracuju s tím na straně JS.

john:
Opět, píšu znova:

Medvídek:
„Ty statusy tam mam víceméně pro sebe, podle toho se rozhoduju, co aplikace udělá.“

Můžeš tam při úspěchu nacpat třeba "borůvka" a při neúspěchu "třešeň", je to jedno, záleží na tom, s čim se ti bude lépe pracovat.

tak já se taky přidám :)
1. AJAX a normální formulář se nijak neliší, jedno odešle prohlížeč na pozadí a druhý přes refresh stránky nebo části stránky (target=frame). Kdybych tě chtěl zaspamovat tak obojí vyřešim na straně svého PHP serveru nikoliv firebugu.
2. spamu se nemůžeš úplně vyhnout, omezovat uživatele v čase musíš velice dobře přizpůsobit a někomu kdo chce spamovat je jedno jestli pošle 1/2 vteřiny, stejně toho dokáže poslat mraky. doporučuji používat nějakou hash údajů. Vygeneruj si třeba hash času se solí, dej to jako třetí POST, v případě že nebude pasovat na hodnotu uloženou v SESSION - zahoď požadavek, po insertu vygeneruješ novej "lístek na odeslání". Při úspěšnym odeslání si vygeneruj hash těch 2 odeslanejch polí a pokud další požadavek bude mít stejnou hodnotu - zahod ho. Já na odesílání formulářů používám něco podobnýho, když není post požadavek tak si vygeneruju a uložim do session nějakej hash, kterej hodim i do formuláře, v případě postu je porovnám a zařídim se podle toho. Nad limitem času jsem nějak neuvažoval i přesto, že efekt by byl úplně stejnej a bylo by to rychlejší :)

Nedokážu na pár řádcích napsat rozumně návod na něco na co návod neexistuje, většina zabezpečení (takto lehkého) neni o knihách, ale o intuici a fantasii.