个人中心
文章发布
退出
作者热门文章
- xml - AJAX/Jquery XML 解析
- 具有多重继承的 XML 模式
- .net - 枚举序列化 Json 与 XML
- XML 简单类型、简单内容、复杂类型、复杂内容
24
4
使用 PHP，您如何根据以下条件安全地验证API 调用、跨域:
一些背景:请在回答之前仔细阅读...
我的网络应用程序将通过如下所示的调用在客户的网站上显示一个 javascript 小部件。因此，我们正在讨论要提供的脚本的跨域身份验证，但仅限于真正的客户端和给定的 URL!
目前可以通过单行 javascript 将小部件包含在客户的网站中。
示例 client-website.com/page/with/my-widget
<head>
...
<script src="//ws.my-webappserver.com/little-widget/?key=api_key"></script>
...
</head>
现在，实际上这并没有直接调用 javascript，而是我的远程服务器上的一个 PHP 脚本，它位于实际 javascript 的前面，目的是进行一些身份验证。
上述调用背后的 PHP 脚本首先执行此操作:
这是简化的，但本质上服务器看起来像:
if ($_SERVER['HTTP_REFERER'] !== "http://client-website.com/page/with/my-widget")
&& $_REQUEST["Key"] == "the_long_api_key") {
header("Content-type: application/x-javascript");
echo file_get_contents($thewidgetJS_in_secret_location_on_server);
} else {
//pretend to be a 404 page not found or some funky thing like that
}
***小部件只允许在某些网站/页面上运行
问题来了:
还有一个小问题:我不能告诉客户将 key 粘贴在他们服务器上的 php 脚本中，因为他们可以运行任何服务器端语言!
那么我怎样才能使我的 Web 服务安全并且只能由给定的域/页面访问？
非常感谢任何帮助!
ps:这个小部件会上传一些东西到一种投递箱 - 所以安全是这里的关键!
最佳答案
我建议使用白名单方法来解决这个问题，我不完全确定这会解决问题，但是我对支付处理器使用了类似的技术，需要您将服务器 ip 列入白名单。
关于javascript - PHP 驱动的 API 如何验证真正的客户端(引用者)跨域(知道 header 可以被欺骗)？，我们在Stack Overflow上找到一个类似的问题： https://stackoverflow.com/questions/19757501/
24
4
0
这是我的本地域名 http://10.10.1.101/uxsurvey/profile/dashboard 在 Controller 中，我为用户列表设置了一个操作 redirect(control
要处理 Canonical URL，最佳做法是执行 301 重定向还是更好地为 www 和非 www 域使用相同的 IP 地址？ 例如: 想要的规范 URL/域是 http://example.com
1 内网基础 内网/局域网（Local Area Network，LAN），是指在某一区域内有多台计算机互联而成的计算机组，组网范围通常在数千米以内。在局域网中，可以实现文件管理、应用软件共享、打印机
1 内网基础 内网/局域网（Local Area Network，LAN），是指在某一区域内有多台计算机互联而成的计算机组，组网范围通常在数千米以内。在局域网中，可以实现文件管理、应用软件共享、打印机
我想创建一个 weblogic 集群，其中有两个托管服务器，每个服务器在物理上独立的远程计算机上运行 根据weblogic文档 All Managed Servers in a cluster mus
我正在运行 grails 3.1.4，但在创建允许我将多个域对象绑定(bind)到其他几个域对象的模式时遇到了问题。作为我正在尝试做的一个例子: 我有三个类(class)。书籍、作者和阅读列表。 作者
我试图使用@count函数来根据它获取数据，但是在没有崩溃报告的情况下它以某种方式崩溃了。 这是代码 class PSMedia: Object { @objc dynamic var id
有谁知道是否有办法只输入字母字符而不输入数字？我想过这样的事情 CREATE DOMAIN countryDomain AS VARCHAR(100) CHECK( VALUE ??? );
我的代码: const checkoutUrl = 'https://example.com/checkout/*' window.onload = startup() function st
一些不是我编写的应用程序，也不是用 PHP 编写的，它为域 www.example.com 创建了一个 cookie。 我正在尝试替换该 cookie。所以在 PHP 中我做到了: setcookie
什么是 oauth 域？是否有任何免费的 oauth 服务？我可以将它用于 StackApps registration 吗？ ？我在谷歌上搜索了很多，但找不到答案。 最佳答案 这是redirect_
自从 In October 2009, the Internet Corporation for Assigned Names and Numbers (ICANN) approved the cre
我使用 apache 作为我的应用程序 Web 服务器的代理，并希望即时更改与 sessionid cookie 关联的域名。 该cookie有一个与之关联的.company.com域，我想使用apa
我只想托管一个子域到cloudflare。我不想将主域名的域名服务器更改为他们的域名服务器。真的有可能吗？ 最佳答案 是的，这是可能的，但是需要通过CloudFlare合作伙伴进行设置，或者您需要采用
When using socket in the UNIX domain, it is advisable to use path name for the directory directory m
想象两个共享一个域类的 Grails 应用程序。也许是 Book 域类。 一个应用程序被标识为数据的所有者，一个应用程序必须访问域数据。类似于亚马逊和亚马逊网络服务。 我想拥有的应用程序将使用普通的域
我有一个包含字段“URL”的表单。第一部分需要用户在文本框中填写。第二部分是预定义的，显示在文本框的右侧。 例如，用户在文本框中输入“test”。第二部分预定义为“.example.com”。因此，总
如果我要关闭并取消分配 azure 中的域 Controller ，从而生成新的 vm Generationid，我需要采取哪些步骤来恢复它？ 最佳答案 what steps do I need to
我想尝试使用 Azure 作为托管提供商(我有一个域)。我读过那篇文章https://learn.microsoft.com/en-us/azure/app-service-web/web-sites
所以.... 我想知道是否有人可以在这方面协助我？ 基本上，我已经创建了一个自托管的Docker容器，用作构建代理(Azure DevOps) 现在，我已经开始测试代理，并且由于我们的放置文件夹位于W
我是一名优秀的程序员,十分优秀！