Безопасна ли связка ajax php?

Question

[Narts]

Всем привет!
Такая ситуация: баланс пользователя при авторизации сохраняется в переменную $balance. Далее при нажатии на определенную кнопку, ajax запускает скрипт обновления баланса php ($balance присваивается значение из бд) и выводится в поле "Баланс".
Таким образом, на странице есть код:

function mode() {
 		$.ajax({
 			url: './checkbalance.php',
 			success: function(data) {           
 				$('#balance').html(data);
 			}
 		});
 	}

, где есть ссылка на файл php с обновлением баланса "/checkbalance.php", куда любой пользователь, насколько я понял, может перейти и увидеть код.

Если супер бродовый вопрос, то прошу прощения, уже крыша едет

Answer 1

[Андрей Саныч]

Зайдите на checkbalance.php с браузера и посмотрите, увидите ли вы там код или нет

Comments

[Narts]

Я на локалхосте. Перехожу и вижу код

[Андрей Саныч]

Narts, лол) а не должны) у вас неправильно сервер настроен

[Андрей Саныч]

Narts, checkbalance.php содержит только php код?

[Narts]

Андрей Саныч, да
у меня xampp, ничего в настройках не менял

[Андрей Саныч]

Narts, ну хз. Что-то у вас там напартачено. PHP код с браузера не должен быть виден

[Exploding]

Narts, Пальцем в небо - может быть директиву short_open_tag проверьте в php.ini и используемые в файле конструкции?
Если не поняли о чем это я:

<?
//если так открываются конструкции
?>

<?php
//измените на такой вариант
?>

Answer 2

[Алексей Некрасов]

1)Код checkbalance.php не как не получится увидеть
2)checkbalance.php если написан правильно и грамотно то в целом это связка безопасна

Comments

[Андрей Саныч]

получится, если файлы не обработаются php интерпретатором

[Андрей Саныч]

Алексей Некрасов, короче там муть какая-то

[Алексей Некрасов]

Андрей Саныч, если бы так было бы то тут были бы другие вопросы.. Как у него тогда баланс отображается а не php код? Вопрос был в другом - безопасна связка php, ajax

Answer 3

[дядя Фёдор]

Создайте
robot.txt
и пропишите там allow для всего, что должен видеть любой пользователь
и disallow для того, что не должен.
Потом можете применить шлюзовую технологию чтобы скрыть checkbalane.php от злых хакеров, которым плевать на disallow.
Защитить данные от очень злых хакеров поможет хэширование и шифрование.
Гипотетически, есть лютые хакеры, которые способны преодолеть все это, но они с большой долей вероятности, к вам не полезут пока вы не раскрутитесь.