保护 php 脚本 - 只允许从列出的页面嵌入

Question

我想提供一个可嵌入其他网站的网络服务 - 现在我需要一个保护嵌入的解决方案 - 以便只有允许的服务器才能嵌入页面...

您认为嵌入页面的最佳方式是什么（它是一个 php 脚本）？

保护它的最佳方法是什么？

我尝试了一些方法，例如 iframe 嵌入和 php $_SERVER['HTTP_REFERER'] 保护（这并不是真正的保存；）

那么有人有更好的主意吗？ Javascript，htaccess，...？

Answer 1

你可以让$_SERVER["REMOTE_ADDR"]检查，哪个服务器是调用者，你可以过滤不需要的。

另一种方式是@Mike 可悲的是，要创建 API，需要安全令牌。

如果要检查调用者的 IP，请执行以下操作：

$allowedHosts = array('192.168.1.1', '192.168.1.2');
if (in_array($_SERVER["REMOTE_ADDR"], $allowedHosts)) {
    //Do what you want
} else {
    die('Your host is not allowed');
}

编辑

OP 询问：

与伪造 $_SERVER["REMOTE_ADDR"] 信息的难易程度有关吗？

不知道，据我所知，这并不容易。也许有一些方法可以让 IP 成为问题。

如果您正在处理非常敏感的数据，我的建议是使用 IP 验证AND安全令牌。

您需要创建一个接口，为传入的请求提供服务。如果我需要做类似你的工作，我会这样做：

• 检查传入的 IP。 （我用代码写的）。让我们在请求中使用 API 密钥/安全密钥。检查这些参数是否正确。

• 从客户端，首先获取一个安全令牌。如果 API 密钥和安全密钥正确，则为客户端提供安全令牌。令牌应在短时间内到期，例如。 5-15 分钟。

• 仅使用 API 密钥、安全密钥、安全令牌提供下一个请求。

• 全部使用 https 协议。

• 如果有很多来自同一 IP 的失败请求，请禁止该 IP 或暂时阻止它。