Xác định giới thiệu trong PHP

Cách đáng tin cậy và an toàn nhất để xác định trang nào được gửi hoặc được gọi (qua AJAX), trang hiện tại. Tôi không muốn sử dụng $_SERVER['HTTP_REFERER'], vì (thiếu) độ tin cậy và tôi cần trang được gọi chỉ đến từ các yêu cầu bắt nguồn từ trang web của tôi.

Chỉnh sửa: Tôi đang tìm cách xác minh rằng một tập lệnh định dạng trước một chuỗi hành động đang được gọi từ một trang trên trang web của tôi.

REFERER được gửi bởi trình duyệt của khách hàng như một phần của giao thức HTTP, và do đó thực sự không đáng tin cậy. Nó có thể không ở đó, nó có thể bị giả mạo, bạn chỉ không thể tin tưởng nó nếu nó vì lý do bảo mật.

Nếu bạn muốn xác minh xem một yêu cầu đến từ trang web của mình thì bạn không thể, nhưng bạn có thể xác minh rằng người dùng đã truy cập vào trang web của bạn và / hoặc đã được xác thực hay chưa. Cookie được gửi theo yêu cầu AJAX nên bạn có thể dựa vào đó.

Điều tôi thấy tốt nhất là mã thông báo CSRF và lưu nó trong phiên cho các liên kết mà bạn cần xác minh liên kết giới thiệu.

Vì vậy, nếu bạn đang tạo một cuộc gọi lại FB thì nó sẽ trông giống như sau:

$token = uniqid(mt_rand(), TRUE);
$_SESSION['token'] = $token;
$url = "http://example.com/index.php?token={$token}";

Sau đó, index.php sẽ giống như sau:

if(empty($_GET['token']) || $_GET['token'] !== $_SESSION['token'])
{
    show_404();
} 

//Continue with the rest of code

Tôi biết về các trang web an toàn thực hiện điều này tương đương với tất cả các trang an toàn của họ.

Sử dụng $ _SERVER ['HTTP_REFERER']

Địa chỉ của trang (nếu có) đã giới thiệu tác nhân người dùng đến trang hiện tại. Điều này được đặt bởi tác nhân người dùng. Không phải tất cả các tác nhân người dùng sẽ đặt điều này và một số cung cấp khả năng sửa đổi HTTP_REFERER dưới dạng một tính năng. Trong ngắn hạn, nó không thể thực sự đáng tin cậy.

if (!empty($_SERVER['HTTP_REFERER'])) {
    header("Location: " . $_SERVER['HTTP_REFERER']);
} else {
    header("Location: index.php");
}
exit;

Không có cách nào đáng tin cậy để kiểm tra điều này. Nó thực sự dưới bàn tay của khách hàng để cho bạn biết nó đến từ đâu. Bạn có thể tưởng tượng sử dụng thông tin về cookie hoặc phiên chỉ đặt trên một số trang trên trang web của mình, nhưng làm như vậy sẽ phá vỡ trải nghiệm người dùng với dấu trang.

Chúng tôi chỉ còn lại một lựa chọn duy nhất sau khi đọc tất cả các vấn đề về liên kết giới thiệu giả mạo: tức là Trang chúng tôi muốn theo dõi dưới dạng liên kết giới thiệu nên được giữ trong phiên và khi ajax được gọi sau đó kiểm tra phiên nếu nó có giá trị trang liên kết giới thiệu và thực hiện hành động khôn ngoan khác không hoạt động.

Mặt khác, khi anh ta yêu cầu bất kỳ trang nào khác, sau đó làm cho giá trị phiên của liên kết giới thiệu thành null.

Hãy nhớ rằng biến phiên chỉ được đặt trên yêu cầu trang mong muốn.