允许跨域的Ajax请求

在我的项目中,我需要允许其他人向我的脚本发送ajax请求。 所以外部请求可能来自其他网站和域名,也可能来自浏览器扩展。
我已经简单地在脚本的顶部添加了这两行代码:

header('Access-Control-Allow-Origin: *'); header('Access-Control-Allow-Methods: GET, POST'); 

现在我的问题是这样的:在这里,我已经错过了安全考虑? 这个简单的解决scheme会造成严重的问
如果是这样,有什么更好的解决scheme?

感谢您的回应。

如上所述,任何人都可以随时向您发送页面请求:所以您需要的主要安全问题是validation用户input,并且只显示可供公众使用的信息。 但是这适用于所有脚本。

您需要关注的两个主要问题(在validation用户input之后)是:

  1. 您可能遇到的问题是用户将信息接收到脚本中。 根据浏览器(甚至是同一浏览器的不同风格),有不同的安全规则可阻止他们获取信息。 一个常见的解决scheme是提供信息作为“JSONP”,这是一个函数调用,可以由客户端执行包装您的返回值。 这是一个简单的例子(摘自http://www.geekality.net/2010/06/27/php-how-to-easily-provide-json-and-jsonp/ )。 为了进一步locking它,你可以坚持所有的查询都是JSONP并拒绝没有发送callback函数的人。

 <?php header('content-type: application/json; charset=utf-8'); $data = array(1, 2, 3, 4, 5, 6, 7, 8, 9); echo $_GET['callback'] . '('.json_encode($data).')'; ?> 
  1. 有人经常打电话滥用您的服务。 解决scheme是捕获IP地址,如果IP地址过多,则拒绝。 不是万无一失的,但这是一个开始。

其他因素要记住:

  • 您的脚本设置的Cookie和其他标题可能会被忽略
  • 同样适用于会议

就像zerkms所说,如果他们只是“去”你的PHP页面,他们将能够看到任何回声。 如果可能的话 (不知道这是什么),它也会允许不需要的人甚至在本地主机上创build他们自己的表单,并通过AJAX提交它们以得到他们想要的回应。如果这与你确定,并且信息是不明确的/无害…那么我想这将是“安全的”。 获取/传输敏感信息不是好方法

 private function set_headers() { header("HTTP/1.1 ".$this->_code." ".$this->get_status_message()); header("Content-Type:".$this->_content_type); header("Access-Control-Allow-Origin: *"); }