我有一個 PHP 頁面，只有其他站點才能訪問該頁面進行輪詢（有點像 webhook）。我不希望任何用戶嘗試訪問/訪問它。我怎樣才能確保它被特定的來源/方式訪問？例如：當網(wǎng)站在我的網(wǎng)站上檢查新數(shù)據(jù)時，他們將訪問一個名為 的頁面check.php。他們將發(fā)送POST和GET信息進行檢查。這是我對該頁面的示例代碼：<?phpif(empty($_GET['name']) || empty($_GET['email']) || $_POST['secret-code'] !== 'abc123') { echo "error"; exit();} else { $name = $_GET['name']; $email = $_GET['email']; echo 'Here is the info you requested...';}?>我怎樣才能更安全地做到這一點？如果他們發(fā)送自己的參數(shù)$_GET和$_POST參數(shù)來請求數(shù)據(jù)，我想確保沒有人可以訪問它。我可以用代碼甚至標題做些什么？感謝您的任何幫助
2 回答
瀟湘沐
TA貢獻1816條經(jīng)驗 獲得超6個贊
一種選擇是驗證請求中的特定用戶數(shù)據(jù)，例如預先確定的密碼或密鑰。這是最不安全的方法。
另一種選擇是只允許來自單一來源的網(wǎng)絡連接。您可以通過在每次發(fā)出請求時檢查客戶端的 IP 來做到這一點。如果您采用這條路線，請確保也通過密碼進行驗證，因為 IP 欺騙是可能的。
更安全的方法是獲取客戶端信息請求的一部分并將其直接發(fā)送回客戶端，驗證他們是否向您發(fā)送了此信息（這類似于 2 因素身份驗證）。
該最安全的方法將具有客戶端創(chuàng)建一個加密的簽名密鑰，然后你可以驗證只可能是由他們簽名。
這可以使用openssl_sign()和openssl_verify()函數(shù)來完成。
交互式愛情
TA貢獻1712條經(jīng)驗 獲得超3個贊
為什么不使用可以存儲在數(shù)據(jù)庫中的令牌并像 API 一樣從標頭中讀取它呢？
您可以只檢查標頭是否存在并具有令牌值，并根據(jù)您的數(shù)據(jù)庫檢查令牌是否有效，您可以執(zhí)行其他一些操作，例如記錄請求等，并輕松添加新令牌。
如果標頭不存在且令牌無效，則刪除訪問...
或者，您可以做一個“ip 白名單”，這樣只有來自某些 IP 的請求才能通過，或者像“CORS”這樣的域，但僅限于某些 IP 和域。
因為這樣更容易管理對您服務的某些用戶的訪問。另一種選擇（包括更安全的）就像@shn 所說的。
- 2 回答
- 0 關注
- 181 瀏覽
添加回答
舉報
0/150
提交
取消