ajaxのコードを見られた場合に脆弱性になりえるか

Question

javascriptからajaxでphpにデータ送信してるのですが、↓みたいにファイルパスを指定しています。

	$.ajax({
    	type: "POST",
    	url: "../xxx/xxxxx/xxxxxxxxxxxxxxx/xxxxx.php",
    	data: {
    		"userid": userid,
    		"name": nickName
    	},
    	dataType: 'json',
    	})

javascriptの難読化はしてるものの、もし解読されたとき、外部からこのphpにアクセスできてしまうなどの脆弱性になりえますか？
またその場合、どのような対処法が考えられるでしょうか。

[追記]
WordPressを使用しており、URLを直接叩いても白い画面になるだけではあります。

Comments

[Lhankor_Mhy]

WordPress REST API ですか？
それとも独自実装ですか？

[pan2taicho]

独自実装です

[Lhankor_Mhy]

独自実装であれば、コードをご提示いただかないと脆弱性があるかどうか判断できないのではないかと思いますが……

Answer 1

URLが割り当てられている以上はブラウザからアクセスできますし、難読化なんてコードフォーマットされてしまえば無意味です。

何を不正とするか、正常とするかを定義し、適切な対策を実装することだと思います。
アクセスできるものに対してのアクセスが問題になるわけではないです。対策がされていないから問題になります。

Answer 2

どんなに難読化をしても、ブラウザの開発ツールを使えばURL等は簡単に分かってしまいます。
なので、URL等がわかっても安全な形でAPIを開発することが唯一の解決策です。

(誤編集を修正しました。編集画面上は問題なかったのでTeratailのバグなどかもしれません)

Answer 3

いくら難読化を施してもF12開発者ツールなどを見ればすぐにわかってしまいます。
ですから、JavaScriptから送られてきた値を信用するのではなく、PHP側で適切なバリデーション処理を行うことが重要だと思います。