防止直接存取透過AJAX存取的文件

透過AJAX請求存取PHP檔案時，例如“func.php”，直接存取該文件可能會造成安全性問題。為了解決這個問題，實現區分 AJAX 請求和直接存取嘗試的機制至關重要。

一個有效的解決方案是利用「HTTP_X_REQUESTED_WITH」伺服器變數。大多數 AJAX 框架將此標頭設為“XMLHttpRequest”，提供了一種區分真正的 AJAX 請求和直接瀏覽器存取的方法。此標頭檢查可以在 PHP 檔案中實現，如下所示：

if (isset($_SERVER['HTTP_X_REQUESTED_WITH']) && ($_SERVER['HTTP_X_REQUESTED_WITH'] == 'XMLHttpRequest')) {
    // Allow access...
} else {
    // Ignore or deny access...
}

透過實施此檢查，您可以確保只有合法的 AJAX 請求才能存取指定文件，從而防止未經授權的直接存取。

此外，為了增強安全性，您可以手動設定使用以下 JavaScript 程式碼在 AJAX 請求中新增「X-Requested-With」標頭：

var xhrobj = new XMLHttpRequest();
xhrobj.setRequestHeader("X-Requested-With", "XMLHttpRequest");

這一步驟進一步加強了對直接檔案存取的保護。