Как правильно обращаться к url при использовании Ajax?

Question

[Oversec]

Я делаю ajax запросы для динамического обновления данных, запрос идёт к контроллеру, он возвращает json ответ. Но возникла такая проблема, что url может быть разный, то есть: site.ru/admin и site.ru/admin/task и site.ru/admin/task/index один и тот же action (admin - модуль администратора)

При отправке запроса (делаю это методом Post) может выйти ошибка, если url site.ru/admin или site.ru/admin/task.

function setComment(task_id) {

    var task_comment = prompt('Комментарий для сотрудников системы', $('.td-task-comment-' + task_id + ' span').text());
    if (task_comment == null) return;

    $.post('comment' , {task_id: task_id, comment: task_comment}, function (r) {
        if (r.success) {
            $('.td-task-comment-' + task_id).text(r.comment);
        } else if (r.fail) {
            alert(r.msg);
        }
    }, 'json');
}

Возможно есть какой-то способ это исправить? Чтобы запросы всегда отправлялись на site.ru/admin/task/comment?

Answer 1

[Максим Тимофеев]

$.post('/admin/task/comment'

Comments

[Oversec]

Я пока так и реализовал, но у меня будет несколько ролей, и получается для каждой так надо прописывать?

[Максим Тимофеев]

Oversec: а как иначе? js работает в браузере там нет yii url менеджера и т.д.

[Oversec]

Максим Тимофеев: Ладно, размечтался я. Спасибо вам

[Максим Тимофеев]

Oversec: Вообще тут ошибка логики. Права должны рулиться в контроллере, а для ajax должен быть 1 экшен

[Oversec]

Максим Тимофеев: права в контроллере и регулируются, тут вопрос в том, что у каждой роли своя таблица и хотел попробовать универсальное решение

[Максим Тимофеев]

Oversec: А зачем разные урлы? 1 экшен для всех, там определяем роль и в зависимости от нее делаем разные действия с разными таблицами и т.д.

[Oversec]

Максим Тимофеев: Это и вправду более удобно, попробую реализовать. Проще говоря происходит ajax запрос к контроллеру, например, AjaxController, он определяет роль и в зависимости от роли делает то или иное действие? Там могут через ajax не только комментарии добавлять но и другие действия выполнять (менять статус, даты и тд.)

[Максим Тимофеев]

Oversec: Конечно. Это и с точки зрения безопасности верно. Пустить ajax в другой контроллер не проблема и это уязвимость, но если уже в контроллере разруливать права и действия - то все ок.

Answer 2

[Анатолий Медведев]

Указывай полный url - ВСЕГДА.

$.post( "/admin/task/comment" , {task_id: task_id, comment: task_comment}, function (r) {
        if (r.success) {
            $('.td-task-comment-' + task_id).text(r.comment);
        } else if (r.fail) {
            alert(r.msg);
        }
    }, 'json');