Chiarimento sulla sicurezza AJAX

[slyover3]

Salve a tutti,
Mi domandavo da tempo se ajax è sicuro! Per questo motivo:

io ho questa chiamata ajax di jquery :

$(".si").one("click", function(){

$.ajax ({
    type:"POST",
    url:"http://127.0.0.1/ecom/js/ajax/acquista.php",
    data:"id_cliente=" + id_cliente + "&id_prodotto=" + id_prodotto + "&prezzo=" + prezzo,
    dataType: "html",
    success:function(msg){
    $(".echo").html(msg);


    }

});

});

io so che tramite la barra delle url si possono eseguire degli script in javascript. Non possono far in modo di cambiare i valori delle variabili e quindi la query nel file php viene in un certo senso "Hackerata"?

oppure altro esempio che richiama questo mio dubbio:

ho queste variabili php che passerò a jquery:

<?php
$prova = 2;
$prova2 = 4;
?>

Chiamata ajax

$(".si").one("click", function(){

var provajq = "<?php echo $prova; ?>";
var provajq2 = "<?php echo $prova2; ?>";

$.ajax ({
    type:"POST",
    url:"http://127.0.0.1/ecom/js/ajax/acquista.php",
    data:"provajq=" + prova + "&prova2=" + provajq2,
    dataType: "html",
    success:function(msg){
    $(".echo").html(msg);


    }

});

});

Quando si va a vedere nel sorgente pagina la variabile provajq ha come valore 2 e la variabile provajq2 ha il valore 4. Ora con una semplice riga di comando inserita nella url si può cambiare il valore delle variabili di javascript? Se si come prevenire ciò?


Altra domanda:
Come faccio a nascondere la url della pagina php che andrà ad elaborare AJAX? se per puro caso una persona risale a quella pagina come si può far in modo che sia protetta e non esegua le query?

Spero avrò delle risposte.

[cavicchiandrea]

Non sono un esperto di sicurezza (e secondo me le tue domande sono più da sicurezza server) ajax è un metodo d'invio dati. Le sicurezze le devi predisporre sul server cosa e come deve ricevere questi dati lo decidi tu, tutto il resto lo deve scartare.
Parti da questo concetto (che anche il mio) se i grandi google, yahoo, msm, facebook, fanno un uso abbondante di ajax, jquery, javascript, significa che tali sistemi non indeboliscono la sicurezza.

[slyover3]

Giusto, ma dagli esempi che ho citato prima è possibile effettuare quel tipo di "Hack"?

Magari i colossi come google ecc sanno il modo per mantenere sicuro le chiamate ajax

[cavicchiandrea]

Io non riesco a spiegartelo meglio, se il server è protetto adeguatamente dal hosting e tu sviluppi le query e il codice senza falle (vedi SQL injection) puoi stare tranquillo che tramite Ajax non possono fare nulla.


P.S. E non esiste Ajax per i colossi (google, yahoo, etc...) altrimenti essendo Ajax uno standard (cioè riconosciuto da tutti i browser) se fosse un ajax proprietario come potrebbe funzionare sul tuo browser?