如何使用用戶名/密碼阻止對服務器的請求？

Question

我們已經意識到，當將URL http://Keyword:redacted@example.com/複製並粘貼到瀏覽器的地址欄中時，它將重定向到http://example.com/。

據我瞭解，這可能會用於某些ftp連接，但我們在我們的網站上沒有這樣的用途。我們懷疑我們是受到攻擊的目標，並且已被Google警告我們將PII（主要是電子郵件地址）通過我們的URL請求傳遞給其Google Adsense網絡。我們一直未能找到消息來源，但我們已被警告說違規行爲的形式爲http://Keyword:redacted@example.com/

我們如何阻止這種情況發生？
什麼URL重定向方法，我們可以用來不接受這個，並返回一個錯誤消息？

Answer 1

僅供參考我在客戶網站上遇到過類似的問題，並跟進了Adsense的支持。此事升級爲專家團隊，調查並確定標有http://Keyword:redacted@example.com/格式的違規行爲將被視爲誤報。我不確定這是否適用於所有發佈商或針對我們的具體情況，但可能需要跟進AdSense支持。

Answer 2

沒有什麼可以做的。在甚至考慮到與您的服務器「交談」之前，這完全由您的瀏覽器處理。

這是一個奇怪的URL，用於人們複製/粘貼到瀏覽器的地址欄，除非他們已被告知/訓練如此。你最好的選擇是告訴他們停止它！ :-)

我想你可以看看HTTP授權標題，並報告錯誤，如果他們來填充...（這將在$_SERVER['PHP_AUTH_USER']在PHP中。）我從來沒有看過這些值時， t請求他們，所以我不知道它是否會工作或不...

Answer 3

語法http://abc:def@something.com意味着你發送userid ='abc'，password ='def'作爲基本認證參數。您的瀏覽器將提取用戶名密碼並將其作爲身份驗證信息發送出去，從而使網址保持不變。

正如Peter Bowers所提到的，您可以檢查授權標題並查看它們是否以這種方式進入，但如果他們想要，則無法阻止其他人執行此操作。如果它發生了很多，那麼我會懷疑某個地方有一個Web表單，要求用戶輸入他們的用戶名/密碼，並且這種方式正在被編碼。偵察它的一種方法是查看是否可以通過指定的用戶標識來識別某人。

有Keyword:redacted聽起來很奇怪。 Google Adsense可能會改變這些值，以避免包含機密信息。