Как обезопасить PHP-скрипт от прямого доступа?

web102 14.03.2021 Общие вопросы по PHP, Модули, Ламерские вопросы 1275

вопрос

Доброго времени!

Сделал примитивный хак для изменения значения допполя непосредственной в новости. Через js выполняется AJAX-запрос к php-файлу в папке engine/ajax:

Содержимое PHP-файла

<?php

@error_reporting ( E_ALL ^ E_WARNING ^ E_DEPRECATED ^ E_NOTICE );
@ini_set ( 'error_reporting', E_ALL ^ E_WARNING ^ E_DEPRECATED ^ E_NOTICE );
@ini_set ( 'display_errors', true );
@ini_set ( 'html_errors', false );

define( 'DATALIFEENGINE', true );
define( 'ROOT_DIR', substr( dirname(  __FILE__ ), 0, -12 ) );
define( 'ENGINE_DIR', ROOT_DIR . '/engine' );

include_once (ENGINE_DIR . '/classes/plugins.class.php');

$id  = $db->safesql( $_REQUEST['id'] );
$xn  = $db->safesql( $_REQUEST['xn'] );
$xv  = $db->safesql( $_REQUEST['xv'] );
$xnv = $db->safesql( $_REQUEST['xnv'] );
    
  
$db->query( "UPDATE " . PREFIX . "_post SET xfields=REPLACE(xfields, '$xn|$xv', '$xn|$xnv') WHERE id = '$id'" );
$db->close();

Каким образом можно ограничить прямой доступ к файлу?

if(!defined('DATALIFEENGINE')) {
	header( "HTTP/1.1 403 Forbidden" );
	header ( 'Location: ../../' );
	die( "Hacking attempt!" );
}

if( !$is_logged ) die( "error" );

не работают...

Ответа пока нет

8 комментариев

Эксперт

850

TeraMoune - 2020-11-0114 марта 2021 22:12 - #79301

Проверяйте метод запроса.

Принимаю оплату только на карту Мир. Крипту в качестве оплаты меньше трёхзначного значения не принимаю.

Юзер

web102 - 2020-11-0115 марта 2021 06:53 - #79309

можно поподробнее? JS отправляет запрос методом $_POST, а при прямом обращении через браузер - $_GET? Из этого исходить?

Эксперт

850

TeraMoune - 2020-11-0115 марта 2021 09:16 - #79310

Верно, делаете условие и если метод запроса post то пропускаете если иначе то прекращаете работу.

Принимаю оплату только на карту Мир. Крипту в качестве оплаты меньше трёхзначного значения не принимаю.

PHP-developer

3204

dj-avtosh - 2020-11-0114 марта 2021 23:43 - #79303

Скажите, что значит прямой доступ к файлу?

По заказам пишем сюда: @Rud00y

ЯД: 41001679231462
Заказы в telegram (ремонт модулей, оптимизация нагрузок и т.п.):
В телегу писать сразу задачу и бюджет.

Юзер

keaks - 2020-11-0115 марта 2021 00:37 - #79304

dj-avtosh,
Он видимо имеет ввиду что при прямом обращении к его скрипту от люого пользователя выполняется действие.

Юзер

web102 - 2020-11-0115 марта 2021 06:52 - #79308

совершенно верно

PHP-developer

3204

dj-avtosh - 2020-11-0115 марта 2021 10:33 - #79312

https://dle-faq.ru/faq/phpquest/27201-kak-zaschitit-php-skripty-vyzyvaemye-cherez-ajax-jquery.html

Юзер

web102 - 2020-11-0115 марта 2021 10:51 - #79313

Спасибо, добрый человек! То, что нужно!

Dammager | Как разрешить загрузку файла без расшире ... ¹

Dammager
Как разрешить загрузку файла без расширения?
Сегодня, 09:20

Или другой вариант имеется ссылка на .jpg файл но без разширения например http://сайт.ру/названиефайла - как такой файл заставить загрузится к новости по ссылке, чтоб потом вставить картинку в новость.

Тоже интересует
Yutube | Как получить значения дополнительных пол ... ⁶

Yutube
Как получить значения дополнительных полей?
Вчера, 18:47

Андрей79,
Спасибо за развёрнутый ответ
Андрей79 | Как получить значения дополнительных пол ... ⁶

Андрей79
Как получить значения дополнительных полей?
Вчера, 18:32

В шаблонах используем стандартные теги:

{xfvalue_field} для доп. полей новости,

[xcvalue_field] / [xcgiven_field]…[/xcgiven_field] для полей категорий.
dle-news.com
+1

В PHP (когда нужно читать поле программно) — через класс XFields:

// $row['xfields'] — строка из БД (news/users)
$xf = DLEXFields::xfieldsdataload( $row['xfields'] );
$value = isset($xf['myfield']) ? $xf['myfield'] : '';

Это «правильный» способ на актуальных DLE, потому что парсинг и привязка тегов теперь в engine/classes/xfields.class.php.
dle-faq.ru

Безопасность и совместимость

Не выводим «сырые» значения из XFields — пропускаем через штатный парсер DLE, если там BBCode/HTML:

$parse = new ParseFilter();
$parse->safe_mode = true;
$html = $parse->BB_Parse( $parse->process($value) );

Для атрибутов HTML — htmlspecialchars($value, ENT_QUOTES, 'UTF-8').

Мы уже не трогаем сериализацию XFields напрямую в плагине; в AJAX-эндпойнтах (preview/save) используем ParseFilter и штатные API — это сохранит совместимость c DLE 19+.
Yutube | Как получить значения дополнительных пол ... ⁶

Yutube
Как получить значения дополнительных полей?
Вчера, 17:18

Большой спасибо, действительно это сработало, вчера 5 часов без остановки перепробовал всё возможное, помню что даже код который вы подсказали, но не как не мог получить результат, но сейчас это сработала, видимо всё таки в какой-то части кода не то делал, ещё раз огромное спасибо
web102 | Как получить значения дополнительных пол ... ⁶

web102
Как получить значения дополнительных полей?
Вчера, 16:58

попробуйте $xfieldsdata = DLEXFields::xfieldsdataload($row['xfields']);
Yutube | Как получить значения дополнительных пол ... ⁶

Yutube
Как получить значения дополнительных полей?
Вчера, 13:40

TeraMoune,
Спасибо за ответ, единственно так как пхп я не очень, можете пожалуйста примерно подсказать как именно вывести содержимое с доп. поли, или исправить выше код, буд эу очень благодарен
TeraMoune | Как получить значения дополнительных пол ... ⁶

TeraMoune
Как получить значения дополнительных полей?
Вчера, 12:23

Не решение, а информация.

Вся логика работы доп. полей теперь перешла в отдельный класс engine/classes/xfields.class.php. Чтение и присвоение тегов из данных полей осуществляется в функции Compile в классе работы с доп. полями.
madpitbull | Убираем xfsearch из адресной строки ⁸

madpitbull
Убираем xfsearch из адресной строки
28-10-2025, 15:02

Нет ли у кого решения исправить данную ошибку с пробелом?
New-dev.ru | Как реализовать динамические тайтлы в ка ... ¹

New-dev.ru
Как реализовать динамические тайтлы в категориях?
25-10-2025, 13:46

Посмотрите платный модуль - https://new-dev.ru/116-magicseo-meta-tegi-i-drugaya-seo-optimizaciya-razdelov-sajta.html , может подойдет. А заказывать с нуля под свои нужды - скорее всего дороже выйдет.
sokolov.mgn | Дополнительное поле - checkbox в DLE ⁸

sokolov.mgn
Дополнительное поле - checkbox в DLE
14-10-2025, 10:08

[xfgiven_field] [xfvalue_field] [/xfgiven_field]

У вас опечатка