您如何验证 API 请求来自某个域？

Question

我有一个网络 API，我想允许 任何域 向其提交数据。但是，为了阻止虚假垃圾邮件，我想找到某种方法来确保声明它来自某个域的请求实际上来自该域，并且不会有人试图通过在另一个域上发帖来欺骗我代表域名。

例如，如果http://example.com 提交了一些数据 - 这很好。如果脚本 Kiddie #237 提交的数据声称是 example.com - 这很糟糕。

起初我打算使用密钥系统对每个请求进行 HMAC 签名 - 但此 API 的注册将是开放的、免费的和自动化的。我不确定如何判断 PersonA 或 PersonB 是否真的拥有 http://example.com 并且应该获得 API 密钥。

Answer 1

提供他们必须在该域上上传的密钥文件。然后根据内部数据库检查存在和有效数据。