在Javascript/Ajax而不是PHP中验证表单的故障安全方法？

Question

好的,所以目前我处理PHP中的所有HTML表单提交.我将表单提交给PHP文件:

• 检查在页面加载时创建的cookie以防止CSRF.
• 包含处理验证的require_once().
• 运行其他逻辑.

如果这些步骤中的任何一个失败,则用户将在PHP中重定向到他们来自的页面并显示错误消息.

我如何提交表格:

<form method="post" action="filename.php">

该系统是故障安全的; 如果出现任何问题,即使禁用了Javascript,用户也会返回到他们来自的页面.

所以我的问题是; 我可以使用Ajax(在表单提交时向服务器发出Ajax请求)创建一个故障安全系统吗？所以我根本不需要这个PHP系统？是否有推荐的程序/教程？

我已经避免了这种情况,因为将PHP表单处理系统作为潜在黑客的故障保护系统以及Ajax的开销可能需要几个小时.

只是为了澄清,我不需要支持禁用Javascript的用户.我只是想确保我的系统在那种情况下是否安全无故障.我已经好好看了一下,但很难找到对此的澄清.

Answer 1

最简单的答案是:不.

将任何客户端视为可靠或故障安全是不明智的,在验证用户输入时尤其如此.经验法则是:永远不要相信用户.

目前,根据描述,您的表单将提交给验证表单数据的PHP脚本.这种方式将成为您最好的防线,因为您可以对正在使用的数据进行大量控制.

听起来你想要删除表单提交而不是强制另一个页面加载.您可以使用AJAX将用于验证的表单信息传递给您的脚本,但您的PHP代码仍然对验证过程至关重要.

基本上你想让你的PHP验证扎实.接下来,开始添加一些将表单中的信息传递给PHP代码的AJAX调用,但如果AJAX不可用,请准备回退到标准表单提交.如果AJAX没有问题,您仍然可以提交数据,让PHP进行处理,然后返回指示成功或失败的有效负载.请记住,在这种情况下,AJAX只是验证的一些糖.您只是通过保存自己不得不重新加载页面并再次传输整个文档来增加交易.

但请记住:它不可靠,并且不是故障安全的.服务器端验证是隧道尽头的亮点.