確保請求來自服務器

Question

假設我正在構建網站。我希望用戶只能訪問index.php文件。我還有其他文件，如www.mydomain.com/aboutus.php文件，如果用戶在地址欄中輸入這些文件，用戶可以訪問它們。我希望用戶只能訪問www.mydomain.com。

這些安全功能是如何構建的？

Answer 1

如果我正確理解您希望允許他們只能訪問您的索引/根文檔（www.mydomain.com/index.php等），並且無法輸入：www.mydomain。 com/aboutus.php使用HTTP引用來確保它們來自的頁面是正確的頁面非常簡單：

重要注意事項（編輯）：$ _SERVER類型變量容易被客戶端僞造從cURL甚至telnet之類的東西，可以成爲CSRF類型攻擊的基礎，所以這絕不是一個安全的實現，比如會話標記化。

aboutus.php在最高層：

<?php 
// Put the url they came from 
$ref = $_SERVER['HTTP_REFERER']; 

if($ref !== 'http://mydomain.com/index.php') { 
    die("Must come here from index"); 
// uncomment below to redirect them automatically 
// header('location: index.php'); 
} 
// Otherwise they came from index so show the page. 
echo "Displaying about page:"; 
echo $content; 
?>