PHP 引荐来源网址 : How to make sure a request is actually coming from where it's supposed to come from

Question

我想在其他“已批准”域上放一个指向我网站的链接。当他们单击链接时，它会转到一个页面，该页面会检查引荐来源网址 ($_SERVER['HTTP_REFERRER']) 以确保它们来自已获准拥有我的链接的域。这可能会被欺骗，那么我如何才能确保点击实际上来自已批准的域？

Answer 1

你做不到。您无法阻止引荐来源网址被调和。

如果多个站点之间存在协作，则可能会有替代方案。例如，其他站点中指向您​​的站点的链接可以将 token 作为 URL 中的参数传递，该 token 只能使用一次，然后您可以对其进行验证。

几种验证策略是可能的。您的网站可以联系其他网站并询问它传递的 token 是否有效，或者您可以使用签名作为随机数，这样您就不必联系其他网站。