如何修复ajax调用，以便隐藏我的令牌？
修复ajax调用以隐藏令牌的方法有以下几种：
- 使用服务器端代理：将ajax请求发送到服务器端，由服务器端代理发送请求到目标API，并在服务器端处理令牌。这样客户端代码中就不需要暴露令牌信息，可以有效隐藏令牌。推荐使用腾讯云的云函数（SCF）作为服务器端代理，具体产品介绍和使用方法可参考腾讯云云函数（SCF）官方文档：腾讯云云函数（SCF）
- 使用后端API网关：将ajax请求发送到后端API网关，由后端API网关进行令牌验证和处理，并将请求转发到目标API。后端API网关可以在请求头中添加令牌信息，而不需要在客户端代码中暴露。腾讯云的API网关（API Gateway）是一款高性能、高可用的API服务，可用于构建和管理API，具体产品介绍和使用方法可参考腾讯云API网关（API Gateway）官方文档：腾讯云API网关（API Gateway）
- 使用加密算法：可以使用加密算法对令牌进行加密处理，然后在ajax请求中使用加密后的令牌。客户端代码中只需保存加密后的令牌，而不需要保存原始令牌。在服务器端接收到请求后，再进行解密操作。这样可以有效隐藏令牌，增加令牌的安全性。
- 使用会话管理：在服务器端使用会话管理机制，将令牌保存在服务器端的会话中，而不是在客户端代码中。客户端发送ajax请求时，只需在请求中携带会话ID，服务器端可以根据会话ID获取对应的令牌进行处理。这样可以避免在客户端代码中暴露令牌信息。
需要注意的是，以上方法仅仅是隐藏令牌，而并非完全保证令牌的安全性。在实际应用中，还需要综合考虑其他安全措施，如使用HTTPS协议进行通信、设置有效期限制、使用访问控制策略等，以确保令牌的安全性。
以上是关于修复ajax调用以隐藏令牌的方法，希望对您有帮助。
相关·内容
1回答
我正在开发我的Joomla组件TTVideo的新版本。我正在尝试建立一个使用jQuery星插件的评级系统。我已经解决了jQuery无冲突问题，但是，对于如何安全地向一个使用投票值更新数据库的助手类发送选票，我感到有点困惑。
通常，这是通过外部脚本完成的，而外部脚本只有ajax请求所访问的每个脚本。我希望这样做，以便将它合并到我的组件中，并以这样的方式将std变量提供给助手类，例如getDBO()和数据库引用#__table_name。
任何关于如何实现这一目标的评论都将不胜感激。谢谢。
浏览 1提问于2010-10-21得票数 3
回答已采纳
1回答
我制作了Sencha前端应用程序，它的后端是用PHP/Joomla完成的。Sencha JS应用程序发送的数据使用PHP和Joomla框架进行验证和保存。
如何在Sencha JS应用程序中创建CSRF令牌并在PHP/Joomla代码中进行验证
浏览 0提问于2013-05-13得票数 1
我使用身份服务器4进行身份验证，我的客户端应用程序之一是Asp.net核心MVC项目，以及用于某些ajax请求的一个web资源。
我需要从一些页面的Mvc客户端，调用web资源通过javascript ajax调用。如何通过JWT或Cookies来处理身份验证？如何通过JWT？
浏览 0提问于2020-01-01得票数 2
回答已采纳
我有一个MVC 5应用程序，在我的_Layout.cshtml文件中，我有这样的东西：
<div class="input-top">
<a class="GoBtn" href=""><img src="~/Content/img/GOBtn.png" class="gobtn-position"></a>
<input id="homeZipCode" type="text" class="
浏览 2提问于2014-10-10得票数 0
回答已采纳
我是一个网络应用新手。我知道XSRF保护问题是这样问的，但是这些问题是特定于特定语言(例如RoR/Python)或库(jQuery)的。我想知道如何在我的web应用程序中实现XSRF保护。
我的理解是，XSRF保护依赖于使用在发出HTTP请求时必须进行身份验证的唯一随机令牌。我有以下问题：
何时应该初始化身份验证令牌？应该在页面加载(即GET请求)上设置它吗？
应该在哪里初始化令牌？应该在输入字段、cookie或请求头中设置它们吗？这个随机值是如何产生的？如何持久化此值以便用于比较？
什么时候应该验证身份验证令牌？如何比较身份验证令牌？如何将这些令牌与我坚持的令牌进行比较？
浏览 0提问于2013-08-03得票数 0
1回答
如何在Struts2中使用jQuery令牌？
这是我的示例代码，但它返回空值。
<body>
<s:token />
<script>
var strutsToken = "<s:property value="#session['struts.tokens.token']" />";
var token = {
"struts.token.name": "token",
"token": struts
浏览 2提问于2014-05-12得票数 3
回答已采纳
我想在Django上实现搜索函数，但是我必须用Ajax来实现。
我必须知道Django将如何与Ajax连接并执行查询，以便逐字符进行实时搜索。
是否有任何方法或文档来实现它？
谢谢。
浏览 3提问于2015-01-26得票数 0
我正在尝试构建一个纯JavaScript应用程序，该应用程序调用一个应用程序接口，该应用程序返回一个令牌，我将其保存在cookie中(对此有什么建议吗？)
我有很多疑问，最重要的有以下几点：
我应该如何在页面之间进行重定向，以及如何防止有人访问我的页面，我想做一些事情，例如，如果没有cookie (令牌)并且令牌无效(我将在显示页面之前检查令牌)，重定向到登录，如果一切正确，例如显示主页
浏览 0提问于2019-04-16得票数 0
2回答
我有这个使用cURL的proxy (下面)。每当它得到一个POST时，标头X-CSRF令牌就被设置为null。X-CSRF令牌是使用代理和不使用代理之间POST头的唯一区别。
因此，我想知道如何修复它，以便在不使用代理的情况下正确地设置X-CSRF令牌？
$ch = curl_init();
curl_setopt($ch, CURLOPT_USERAGENT, 'Mozilla/5.0 (Windows NT 6.3; WOW64; rv:34.0) Gecko/20100101 Firefox/34.0');
$browserRequestHeaders = getall
浏览 1提问于2015-01-09得票数 0
回答已采纳
我当时正在阅读这个问题，但仍然对我的用例产生怀疑。
我知道，由于XSS攻击，在本地/会话存储中存储JWT是不安全的。但是，如果JWT只在第一次登录时持续1分钟，怎么办？然后，客户端将使用它获得一个更长+更安全的JWT，以便从那时起继续登录。
我正在使用第三方身份提供程序来处理初始登录。我之所以要这么做，是因为他们返回JWT的API不支持httpOnly (不管出于什么原因)。在从服务器获得一个新的httpOnly cookie之前，我仍然必须暂时将JWT存储在某个地方。或者我应该将它保存在状态(我正在使用React)？
这个方法安全吗？我的理由是，即使他们得到了JWT，它只会持续1分钟才到期。
浏览 0提问于2020-08-06得票数 0
我有一个具有offline_access权限的应用程序，我通过php sdk获取访问令牌，并将访问令牌存储在数据库中。
此应用程序通过与facebook互动的网站工作，但我们不要求用户在使用我们的网站时登录到facebook。也就是说，要登录并使用我们的网站，不需要登录到facebook。这就是我们使用offline_access权限的原因。
现在，问题是:如何在javascript中使用访问令牌？
显而易见的解决方案是通过php echo在网页中插入访问令牌，这是不安全的，因为我们目前不通过https提供页面，因此令牌以纯文本传输。此外，如果某个用户离开他的计算机无人看管，攻击者可以使用它，
浏览 0提问于2011-12-27得票数 1
回答已采纳
我总是收到内部服务器错误，我在寻找解决方案，但我找不到最佳的解决方案来解决我的问题。如何解决此问题？内部服务器错误500。她是我的代码
路由器：
Route::get('getdata', function()
{
$term = Str::lower(Input::get('term'));
$data = array(
'R' => 'Red',
'O' => 'Orange',
'Y' => 'Yellow',
浏览 4提问于2015-11-23得票数 0
我知道这件事已经在上提过了，但我无法取得进展。我在Rails 5.0.7.2上。
我每天要被ActionController::InvalidCrossOriginRequest扔几百次。Rollbar说，它主要是由宾博特造成的，它是在我的用户注册模式，这是从设计。这是一个GET请求，路径是/users/sign_up。
注意:这不是一个表单。，这是一个简单地问用户如何注册的模式？电子邮件，Fb，Google auth等。
基本上，我在我的网站上有一些javascript操作，图片就像一个reddit或堆栈溢出向上的投票。我不是在这些链接上使用remote: true，而是有一个$.ajax调
浏览 4提问于2021-04-16得票数 4
我有一个存储照片数据的多态模型。我将该模型用于许多类型的内容，例如用户照片(content_type: User，content_id: user_id)，游戏屏幕截图等。现在我需要在创建阶段向某些模型添加一些照片。
问题是，我不能将content_id传递给partial，因为模型在保存它之前没有它。
请在下面找到适用于现有模型的代码。
photos/add_photo partial代码：
<% form_for(@photo, :html => { :multipart => true }) do |f| %>
<%= f.error
浏览 0提问于2011-11-05得票数 0
我有一些javascript在我的Rails站点中进行ajax调用：
$.ajax({type: "PUT", url: url, data: { dummy: data }, complete: function(data) {}});
当Rails得到它时，它抛回一个ActionController::InvalidAuthenticityToken错误。如果可能的话，我想把protect_from_forgery的东西放在那里。但是我不知道如何从javascript文件中传递身份验证令牌？
有人能帮我吗？
浏览 0提问于2009-04-08得票数 13
回答已采纳
我正在验证我们是否可以在客户端代码中访问通过Azure App代理向外部公开的内部本地服务。
内容结构1.内部服务2.向外部公开内部服务的Azure应用程序代理3. SharePoint在线页面-在此页面上，我尝试验证是否可以通过应用程序代理访问服务
流程1.用户登录到SharePoint Online站点2.导航到从azure应用程序代理服务提取数据的页面3.用户应看到通过Azure应用程序代理传递的来自内部服务的数据，而没有任何身份验证挑战
上面的流程可能吗？我尝试了相同的方法，但在停止对Azure应用程序代理的调用时失败，状态代码为307。我怀疑调用被认为是未经身份验证的，因此失败了。
浏览 3提问于2017-04-27得票数 0
我确实有一些使用ASP.NET MVC4某些功能的SPA应用程序，如AntiForgeryToken。
我不知道如何在超文本标记语言中实现AntiForgeryToken功能，而不使用在Phonegap中不支持的CSHTML？
浏览 3提问于2013-02-20得票数 3
回答已采纳
下面是我的代码，以及我如何使用Ajax提交数据。在第一次提交时，数据被成功地发布，但是当我再次尝试时，它失败了，我怀疑它来自无效的csrf，因为可能会生成一个新的令牌。我该如何解决这个问题？
$('#icon').on('click', '#test', function() {
var ids = $(this).data('id');
var csrfName = '<?php echo $this->securi
浏览 0提问于2020-01-15得票数 0
回答已采纳
我目前正在我的表单中生成一个CSRF令牌，以防止跨站点请求伪造。看起来是这样的：
<form method="post" action="action.php">
<input type="hidden" id="security_token" name="security_token" value="gTt96phAcretR99rafEjepHebrEZadEdezadagaZ3gAS5es33WReJeZaMADU2AWr" />
...
</form
浏览 2提问于2013-02-06得票数 13
回答已采纳
我的网站有一个单一的页面，有2个表单和3个基于ajax的帖子调用。我在其中一种表格中使用了csrf_token。此外，为了能够执行csrf安全的ajax调用，我使用了官方文档：和这个博客：上发布的指南。
正如建议的那样，通过在我的javascript文件中使用这段代码，我似乎能够在没有任何问题的情况下执行POST请求。
问题：
在其中一个表单中使用csrf_token以及javascript代码(上述)是否足以确保csrf伪造？我应该在第二种形式中使用csrf_token吗？
正如本文中所建议的，所以post 似乎使用相同的令牌应该是可以的。但是，为了明确起见，我使用的是{% csrf
浏览 1提问于2015-08-06得票数 1
回答已采纳
在检查我的CI 3.1.11代码以清理它(由XAMPP v2.3.4 localhost托管)时，如果我运行CI的跨站点请求伪造(csrf)保护，我似乎已经做了一些事情来阻止服务器接受任何jqxhr请求。
我正在使用其他http请求从服务器和外部文件(如加载jquery的<head>行、我的css文件等)获取信息。不管css设置的状态如何，这些文件都可以正常工作。
当我设置：$config['csrf_protection'] = TRUE;时，我的jqxhr请求总是会得到http 403错误(拒绝请求，这意味着有人试图进行黑客攻击)。我的基本问题是理解为什么会发生
浏览 5提问于2020-02-14得票数 0
回答已采纳
2回答
使用Spring Security，我的理解是您在GET上获得csrf令牌，然后将其包含在任何后续POST、PUT、DELETE请求的头中。但是登录是一个帖子！那么，如何获取csrf令牌，以便将其包含在登录请求的标头中？ 我不想禁用登录路由的csrf。
浏览 40提问于2020-06-16得票数 1
回答已采纳
我正在用phonegap开发一个应用程序。我想在我的应用程序中集成foursquare。如何存储和检索foursquare的access_token以便在我的应用程序中使用它？
浏览 0提问于2012-12-03得票数 4
回答已采纳
3回答
在我的SPA网站上，我需要通过ajax向服务器发送防伪令牌。我使用这篇文章的方法：
所以在我的layout.cshtml中，我有一个本地函数：
<script>
@functions{
public string TokenHeaderValue()
{
string cookieToken, formToken;
AntiForgery.GetTokens(null, out cookieToken, out formToken);
return cookieToken + ":" + fo
浏览 1提问于2013-06-09得票数 0
回答已采纳
我认为这个问题不言而喻。如何从sql server数据库获取信息并将其传递到我的web应用程序，以便内容是动态的。如何在html5和服务器之间建立连接？我知道使用ajax有什么例子吗？没有jquery该怎么做呢？用phonegap吗？
浏览 5提问于2012-04-03得票数 0
这是启用了SecurityComponent的ajax请求的典型问题。我主要有一个SPA。这是主要的问题。 我还使用了CSRF组件，它工作得很好： const response = await axios.post("/items/add.json", data, {
headers: {"X-CSRF-Token": "<?= $this->getRequest()->getParam('_csrfToken') ?>"}
}); 不起作用的是发送安全组件的_Token： {message:
浏览 11提问于2019-02-07得票数 3
我将从http方案中的页面发送AJAX表单到https url (域，并且appliaction是相同的)。我使用MVC 3 Ajax助手：
@using (Ajax.BeginForm(MVC.Payment.Confirm(), new AjaxOptions
{
HttpMethod = "Post",
UpdateTargetId = "myId",
InsertionMode = InsertionMode.Replace,
OnBegin = "$('#popupAjaxLoader').sho
浏览 4提问于2011-11-23得票数 0
回答已采纳
我正在构建一个果园CMS模块，我正在一个果园1.3.10网站上进行测试。该模块显示我的一个实体的详细信息视图，我有一个“收藏夹”按钮，我想单击该按钮并对控制器操作执行ajax post，以便将该实体保存为数据库中的最爱。
在视图中，我有以下代码：
<div style="padding: 10px;">
<span data-id="@Model.Id" id="addFavorite" style="cursor: pointer;">
[Add Favorite]
</sp
浏览 1提问于2012-01-27得票数 10
回答已采纳
概述
我有一个JWT2.0项目，它使用WebApi令牌来保护端点。当用户登录到我的web应用程序时，会向API发出AJAX请求，该API生成并向用户返回一个承载令牌，然后将该令牌保存在sessionStorage客户端，以便向受保护的端点发出请求。
请注意，我的web应用程序和API都是通过https托管的，使用CORS。
问题
当使用Firefox、Chrome、和Edge时，这一切都很好。但是，当我通过iPhone或iPad登录到web应用程序时，API甚至会被调用，因此不会返回令牌。这意味着我的web应用程序不能从受保护的端点获取数据，这实际上使它有点无用！
Research
看起来，
浏览 2提问于2017-01-04得票数 1
回答已采纳
1回答
我现在正在上工作，以防止网站受到CSRF攻击。现在，我怀疑是否应该将令牌作为头字段或AJAX请求上的post值传递，因为它们似乎都能工作。
医生上写着：
中间件还在XSRF令牌和XSRF令牌标头字段中查找令牌，这些字段通常在AJAX请求中使用。
将其设置为我的头字段的缺点是，我必须将每个Jquery $.post更改为一个简单的$.ajax，以便设置标题。
例如：
$.ajax({
url: "url",
type: "post",
data: {
username: username,
sender: sender
}
浏览 3提问于2015-10-21得票数 2
回答已采纳
我开放(并欢迎)替代我想要问的东西--而且我对重新发明车轮不感兴趣，所以如果有更好的方法，我很想知道。
我希望在基于浏览器的AJAX调用中添加一个auth令牌。API是用Node.js编写的。
考虑到基于浏览器的ajax调用对全世界来说都是可见的，我正在尝试提出一些方案，以便向恶意用户公开此密钥不会破坏安全性。
因此，我希望将令牌与站点所在的域结合起来，以确保请求是由授权用户提出的。
我担心的是没有办法保证这一点。我想知道传入的AJAX头部是否可以被欺骗，使之看起来像是来自abc.com的调用，而实际上它是从愤怒的朝鲜黑客网络中发出的。
浏览 2提问于2015-02-23得票数 1
回答已采纳
我在Spring Security 5.1.4中使用CSRF保护时遇到了一个问题。
我已经为应用程序设置了一个自定义登录页面。当用户输入他或她的凭据时，会发出一个AJAX请求。成功处理程序执行其职责，并在响应中返回一个JSON文档。当AJAX调用成功时，通过删除用户名和密码字段并将其替换为一个下拉字段和一个Continue按钮来动态更新屏幕。
当用户从下拉列表中进行选择并单击Continue按钮时，表单上的操作将更改，并使用POST方法提交表单。然后将用户引导到主屏幕。不幸的是，应用程序以一个禁止的(403)错误响应。
当我修改WebSecurityConfigurerAdapter以禁用CS
浏览 5提问于2019-03-26得票数 0
2回答
我必须使用一个简单的表单从服务器检索令牌。然后，我需要使用该令牌为用户会话创建一个唯一的链接。我有以下生成令牌页面的示例代码：
<form id="token" action="whatever.php?name=joe&hobbie=fun" method="POST"></form>
<script>
document.getElementById('token').submit();
</script>
这会自动将我带到将令牌作为文本字符串显示的页面。我只需要弄
浏览 0提问于2016-06-16得票数 0
我使用Django REST框架在JSON中提供数据，并通过AJAX使用它们来刷新页面。如何保护正在使用数据更新的页面的url，并且没有人可以访问API URL。网址是可见的在AJAX中的html，所以它可以访问，但我想防止它的令牌或任何其他适当的身份验证，只有访问它有网站。
URL是'/api/item/‘(参见AJAX代码中的)
serializers.py
from rest_framework import serializers
from .models import Item
class ItemModelSerializer(serializers.ModelSeri
浏览 6提问于2017-05-07得票数 0
1回答
在同步令牌模式中，我总是在隐藏字段或URL中看到CSRF令牌。将其附加到ajax post请求的末尾并让服务器决定是否需要使用它安全吗？如果是的话，为什么人们不这样做呢？
浏览 15提问于2016-11-18得票数 1
回答已采纳
分区范围修复(-pr)是只修复节点负责的主令牌，还是节点保存数据的非主令牌？
如果只有主令牌，那么是否必须在所有节点上运行分区范围修复，以便非主令牌也能得到修复？
如何找到节点负责的非主令牌？nodetool环返回的令牌范围，它是只显示主令牌范围还是节点负责的主令牌范围和非主令牌范围？
浏览 5提问于2022-03-05得票数 0
回答已采纳
2回答
嗨，我有一个隐藏的文本框。
我根据页面内部的点击量来挑战这个值。
我想以某种方式跟踪该值，以便当值为0时调用ajax。
我试着使用.change，但不起作用
有没有人有主意
浏览 0提问于2010-01-13得票数 0
我正在发出一个ajax请求，并在AppController中加载了Csrf组件
但是，我得到了错误{"message":"CSRF token mismatch.","url":"\/module_slides\/loadDeck.json","code":403}
这是请求头
POST /module_slides/loadDeck.json HTTP/1.1
Host: www.hotelieracademy.com
Connection: keep-alive
Content-Length: 18
Origi
浏览 0提问于2015-11-25得票数 1
在启用了CSRF的表单上，我似乎偶尔会遇到这个错误。但是，一旦您返回并尝试再次提交表单，它就可以正常工作。
Illuminate\Session\TokenMismatchException:
/var/www/laravel/app/filters.php:100 {closure}
[internal]:0 call_user_func_array
/var/www/laravel/vendor/laravel/framework/src/Illuminate/Events/Dispatcher.php:199 fire
/var/www/laravel/vendor/laravel/f
浏览 0提问于2014-08-13得票数 2
我正在创建一个页面，它可以在不刷新页面的情况下发布多个AJAX表单。
我想使用CSRF来保护表单免受ASP.NET攻击。我认为页面上的每个表单都可以共享相同的令牌，但它是否允许使用相同令牌的多个请求？如果没有，有没有办法获得新的令牌或其他方法来保护表单？
浏览 3提问于2011-03-08得票数 7
回答已采纳
当我提交表单时，我会得到这个错误，页面会自动重新加载，但是浏览器中的url会显示我在表单中发布的路径和内容。然后，如果我继续提交，没有重新加载页面，它工作得很好。会不会是因为我没有贴出标记本身呢？我把元标签加到头上了。
<meta name="csrf-token" content="{{ csrf_token() }}" />
联署材料：
$.ajaxSetup({
headers: {
'X-CSRF-TOKEN': $('meta[name="csrf-token"]').
浏览 0提问于2016-02-13得票数 0
回答已采纳
在同步器令牌模式中，服务器生成一个随机令牌，客户端每次提交表单时都必须提交该令牌。客户端如何知道在服务器中创建的CSRF令牌？
浏览 0提问于2017-10-08得票数 1
我分析过，得到标记不匹配误差的比率很高。这个错误是因为一些愚蠢的错误。开发人员犯错误有很多原因。以下是一些例子。
没有在头上发送_token。
使用ajax时没有在数据上发送_token。
不是存储路径的权限。
无效的会话存储路径。
还有很多其他的原因，可以自由地编辑这个问题，找到更多的方法来防止这类错误。
浏览 2提问于2017-06-29得票数 1
回答已采纳
1回答
我阅读了很多关于CSRF令牌的内容，但我仍然有几个问题。
例如，我将使用codeigniter 3演示我的情况。
我有登录表单并向/ ajax /login发出ajax请求
在发送此请求之前，我有一个带有生成的csrf令牌的meta标签
<meta name="csrf-token" content="<?= $this->security->get_csrf_hash(); ?>">
和
$.ajaxSetup({
headers: {
'X-C
浏览 5提问于2016-03-27得票数 2
3回答
我允许用户登录到我的网站在一次密码发送到用户的手机号码的基础上。
我的问题是，我正在使用jquery ajax进行Api调用，以便将otp发送到用户的手机号码。现在任何人都可以看到api调用，并向我的服务器发出无限的api请求，这将立即使我的sms包过期。
如何避免滥用API调用？
浏览 3提问于2016-04-19得票数 2
我正在开发一个nodejs express应用程序。我使用Passport的JSON web令牌进行身份验证。我已经成功地创建了一个JSON web令牌，它在Postman中工作得很好，还可以验证令牌何时进入授权状态。但我坚持在前端。
app.get('/profile',passport.authenticate('jwt',{session:false}),function(req,res){
// res.json({user:user.req});
// console.log(req.query.token);
浏览 0提问于2017-11-14得票数 0
我使用权限API来检索访问令牌和令牌秘密，以便创建"X-PAYPAL-AUTHORIZATION“来处理退款操作。为了创建头部，我使用了PayPal SDK (OAuthSignature.getFullAuthString)。我应该在每次进行API调用时保留访问令牌和令牌秘密并创建标头吗？或者头文件(由getFullAuthString返回的字符串)可以永远重用吗？
谢谢
浏览 0提问于2012-07-06得票数 0
回答已采纳
1回答
我为我的项目写了几个web服务，我在我的网站上使用jQuery post调用它们。众所周知，javascript是客户端脚本，可以使用inspect元素或其他方法查看，并且我们的代码对每个稍微了解html的人都是可见的。
所以我的问题是，我们如何维护我们的web服务的安全性，因为在javascript中，任何人都可以看到我们调用了哪个web服务，以及执行该web服务需要什么参数。那么，我们如何才能使我们的web服务免于未经授权的使用呢？
让我们说
$.ajax({ url : "http://www.example.com/myWebserviceURL.php",
浏览 1提问于2015-12-12得票数 0
1回答
伙计们我有个问题..。
我创建了两个PHP文件。
CreateAdmin.php
Save.php
密码工作正常。但问题是我可以直接访问Save.php文件。当我访问每个访问时，在数据库管理表中创建一个空行。
如何预防。
其实我有个主意。当ajax调用会话变量时，应该创建。Save.php的顶部应该有代码，如果没有会话变量页，应该重定向。
有可能..。如果可以的话，会影响访问速度吗？
浏览 3提问于2017-09-27得票数 0
回答已采纳
1回答
我正在使用php中的用户登录/注册功能。我想防止会话HiJacking和CSRF攻击。我脑子里有些困惑，想找出答案来澄清这些问题：
详细信息
注册：表单数据在客户端使用jQuery进行验证，然后转换为json对象并通过ajax调用发送。并在服务器端对数据进行验证，然后注册用户。注册用户后，使用random_bytes(); (PHP7)函数创建会话令牌，并将LoggedIn设置为true。
$_SESSION['LoggedIn'] = true;
$_SESSION['Token'] = random_bytes(32);
我知道，我需要在每个私有(Membe
浏览 3提问于2017-07-16得票数 0
扫码
添加站长 进交流群
领取专属 10元无门槛券
手把手带您无忧上云
相关资讯
热门标签
云服务器
ICP备案
实时音视频
对象存储
即时通信 IM活动推荐
腾讯云开发者
