php - 如何通过 AJAX 请求验证用户？

Question

我们有一个网页，通过 iFrame 提供给合作伙伴公司。 iFrame 包含几个 javascript 文件，它们向我们的服务器发出 ajax 请求以获取数据。 iFrame 本身需要一个针对合作伙伴域的 API key 。如果 iFrame 安装在未注册的域上，这将阻止它显示。但是，从注册站点复制 iFrame 的内容和 javascript 文件并将它们托管在未注册站点上将非常容易。

理想情况下，我们希望使用 API key 来限制 Ajax 请求并防止我们的服务器为未注册站点提供请求的数据。但是，似乎没有为 Ajax 请求设置 HTTP_REFERER 服务器变量。我们如何知道请求来自哪个站点？是否可以？如果不是，我们如何防止未经授权的访问？

Answer 1

依赖 HTTP_REFERER 不是可行的方法。您希望您客户的网站使用 API 通过安全链接联系您的网站，并获得一个临时 session 字符串，然后将其用作 IFRAME 源 URL 的一部分，这就是谷歌的做法(而不是 referer. )

使 IFRAME 的 url 在有限的时间内有效，之后您会显示一条关于返回客户页面重新开始的好消息。