PHP - 使用 HTTP_REFERER 测试 iframe 的父页面是否可靠？

Question

我有一个名为 test2.php 的页面，它通过 iframe 加载到 test1.php 中。

我想实现一个白名单以确保只能通过 test1.php 访问 test2.php。我注意到父页面 URL (test1.php) 作为子 iframe 页面 (test2.php) 的 HTTP_REFERER 传递。

这适用于 IE7/8/9 以及我使用的 Chrome 和 FF 版本。

因此，在这种情况下，由于真正的安全性不是一个因素，测试 HTTP_REFERER 字段是否可靠以检查父页面的身份？是否有浏览器不为 iframe 设置此 header ，或者是否存在我未考虑的边缘情况？

我意识到这不是防黑客的，因为标题欺骗是微不足道的，但安全不是问题。我只是想控制(或多或少)在哪些页面上嵌入了 test2.php。

感谢您的宝贵时间。

Answer 1

您可以使用 JavaScript - 在开始时检查您的 test2.php 文件是否在 iFrame 中

var isInIframe = (parent !== window);    

然后您可以获取并验证父 url

function getParentUrl() {
var isInIframe = (parent !== window),
    parentUrl = null;

if (isInIframe) {
    parentUrl = document.referrer;
}

return parentUrl;    

}