Existiert $ _SERVER ['HTTP_X_REQUESTED_WITH'] in PHP oder nicht?

Überall im Internet, auch hier bei Stack Overflow, geben die Leute an, dass eine gute Möglichkeit, um zu überprüfen, ob eine Anfrage AJAX ist oder nicht, Folgendes ist:

if (strtolower($_SERVER['HTTP_X_REQUESTED_WITH']) == 'xmlhttprequest' ) {...}

Ich sehe jedoch nicht $_SERVER['HTTP_X_REQUESTED_WITH']in der offiziellen PHP-Dokumentation

Und wenn ich Folgendes versuche:

echo $_SERVER['HTTP_X_REQUESTED_WITH'];

Es wird nichts ausgegeben.

Mache ich etwas falsch? Weil ich wirklich gerne verwenden kann, $_SERVER['HTTP_X_REQUESTED_WITH']wenn es verfügbar ist.

Die Variablen in $_SERVERsind nicht wirklich Teil von PHP, weshalb Sie sie nicht in der PHP-Dokumentation finden. Sie werden vom Webserver vorbereitet, der sie an die Skriptsprache weiterleitet.

Soweit ich weiß, ist die X-Requested-With wird das von den Ajax-Funktionen der meisten wichtigen Frameworks gesendet, aber nicht von allen (Dojo hat es beispielsweise erst vor zwei Jahren hinzugefügt: # 5801 ). Unter Berücksichtigung der Kommentare von @bobince kann man mit Sicherheit sagen, dass dies im Allgemeinen keine 100% zuverlässige Methode ist, um festzustellen, ob eine Anfrage eine AJAX-Anfrage ist oder nicht.

Die einzige 100% sichere Möglichkeit besteht darin, ein vordefiniertes Flag (z. B. eine GET-Variable) zusammen mit der Anforderung zu senden und die empfangende Seite auf das Vorhandensein dieses Flags zu überprüfen.

Vergessen Sie nicht, dass Sie mit cURL jeden Header leicht fälschen können

curl_setopt($ch,CURLOPT_HTTPHEADER,array("X-Requested-With : XMLHttpRequest"));

$_SERVERSchlüssel, die mit beginnen, HTTP_werden aus HTTP-Anforderungsheadern generiert. In diesem Fall der X-Requested-WithHeader.

Dieser Header ist eine laufende Standardisierung aller AJAX-Bibliotheken.

Es wird nicht in der PHP-Dokumentation an sich dokumentiert, sondern in den verschiedenen AJAX-Bibliotheken, die diesen Header setzen. Allgemeine Bibliotheken haben diesen Header gesendet: jQuery, Mojo, Prototype, ...

Normalerweise setzen diese Bibliotheken den Header mit

xhrobj.setRequestHeader("X-Requested-With", "XMLHttpRequest");

Hier ist eine kurze Funktion mit Beispielverwendung:

function isXmlHttpRequest()
{
    $header = isset($_SERVER['HTTP_X_REQUESTED_WITH']) ? $_SERVER['HTTP_X_REQUESTED_WITH'] : null;
    return ($header === 'XMLHttpRequest');
}

// example - checking our active call
if(!isXmlHttpRequest())
{
    echo 'Not an ajax request';
}
else
{
    echo 'is an ajax request';
}

echo $_SERVER['HTTP_X_REQUESTED_WITH'];

Was haben Sie von einem solchen Code erwartet? Angenommen, Sie führen es direkt über den Browser aus und verwenden keine AJAX-Anforderung. Wie kommt es, dass dieser Header gesetzt werden kann?

Nun, die Antwort auf die ultimative Frage des Lebens, des Universums und alles - ein HTTP-Sniffer ! Holen Sie sich eine und vergessen Sie das Drucken der Variablen $ _SERVER.

Firebug hat einen, oder Sie möchten möglicherweise den Fiddler HTTP-Proxy oder das LiveHTTPHeaders Mozilla-Plugin verwenden. Es ist mir langweilig, Links zu erstellen, aber es wird leicht gegoogelt.

Mit dem HTTP-Sniffer können Sie also sicher sein, dass es jemals einen HTTP-Header gibt.

Beachten Sie, dass Sie mit XHR keinen "direkten Zugriff" verhindern können, da jede HTTP-Anforderung an Ihren Server bereits "direkt" ist.

Sie können auch einige Browserfehler beschuldigen - siehe diese Frage und ihre Lösung für Firefox

Firefox behält während der Ajax-Anforderungsumleitung keine benutzerdefinierten Header bei: eine ASP.NET MVC-Lösung

IE hat auch Caching-Problem das schwerwiegender ist als die Erkennung der Anforderungsmethode.

Sie müssen ohnehin Cache-Busters hinzufügen, um das Caching zu vermeiden. Warum also nicht ein anderes Flag verwenden, um den Ajax-Aufruf anzugeben? Oder besser, Sie können eine andere URL wie http://ajax.mysite.com/endpoint/sevice?params verwenden

Die beste Lösung, um sicherzustellen, dass eine HTTP-Anfrage wirklich über AJAX gesendet wird, ist die SESSION-Prüfung. Sie senden session_id in einem get-Parameter und überprüfen diese Sitzung, ob dies zulässig ist oder nicht!

$headers = apache_request_headers();
$is_ajax = (isset($headers['X-Requested-With']) && $headers['X-Requested-With'] == 'XMLHttpRequest');

Ich stimme Pekka zu. Es gibt keine zuverlässige native Methode zwischen Vorder- und Rückseite, mit der automatisch erkannt werden kann, ob ein Client mithilfe von AJAX tatsächlich einen Endpunkt aufruft.

Für meinen eigenen Gebrauch habe ich einige Hauptmethoden, um zu überprüfen, ob ein Client einen meiner Endpunkte anfordert:

1. Ich kann HTTP_X_REQUESTED_WITH verwenden, wenn ich mich nicht im domänenübergreifenden Kontext befinde.

2. Anstatt "X-request-with" zu überprüfen, überprüfe ich $ _SERVER ['HTTP_ORIGIN'] (das von einer AJAX-Anforderung gesendet wird), um domänenübergreifende Berechtigungen zu verarbeiten. Der Hauptgrund, warum ich prüfe, ob eine Anfrage eine AJAX-Anfrage ist, liegt hauptsächlich in domänenübergreifenden Berechtigungen, die diesen PHP-Code verwenden: header ('Access-Control-Allow-Origin:'. $ _ SERVER [' HTTP_ORIGIN ']); // Wenn dieses "HTTP_ORIGIN" in meiner weißen Liste ist

3. Meine APIs erwarten vom Client, dass in einigen Fällen der Datentyp (JSON, HTML usw.) in eine GET- oder POST-Variable explizit angegeben wird. Zum Beispiel überprüfe ich, ob $ _REQUEST ['ajax'] nicht leer ist oder einem erwarteten Wert entspricht.

Sie müssen es speziell in Ihrem Ajax-Anforderungsobjekt festlegen (dh, wenn Sie kein Framework wie jQuery verwenden), sondern in Javascript. wie so:

xhr.setRequestHeader("X-Requested-With", "XMLHttpRequest");

Wo xhr ist Ihr Anfrageobjekt?

Dann PHPwird es nun $_SERVERwie folgt empfangen und in die globale Variable gesetzt :

$_SERVER['HTTP_X_REQUESTED_WITH']

Andernfalls ist $ _SERVER ['HTTP_X_REQUESTED_WITH'] immer null.

Hinweis : Stellen Sie in Ihrem Javascript sicher, dass Sie Header festlegen, nachdem die Anforderung geöffnet ist. Ich meine nach xhr.open()Methode.