如何獲得真正的引用者？

Question

假設我想限制發佈請求以僅處理來自我自己的域的請求，我如何才能使用$ _SERVER ['HTTP_REFERER']來檢查引用者，我讀取的是（$_SERVER documentation），可以不被信任？

Answer 1

這是不可能的，不幸的是，檢查引用鏈接的唯一方法是瀏覽器提供了這些信息，顯然這些信息可以改變以使讀者受益。

但是，您可以創建一個用戶會話或cookie來保存一個變量，以顯示該用戶訪問過該網站。如果該會話變量已定義，則只能允許用戶查看帖子。

另一種選擇是根據用戶的IP地址生成鏈接，只有當他們點擊了專門生成的鏈接時才允許訪問它們。您可以從數據庫中保存用戶IP地址和唯一密鑰開始，然後所有內部鏈接都可以使用具有唯一ID的GET變量。如果頁面打開時沒有真正的ID，那麼您可能會顯示一條錯誤消息。

Answer 2

如果它來自您自己的域名，您可以設置cookie或使用會話變量將用戶標記爲位於您的網站上。然後，如果發送提交，並且用戶缺少驗證值，則您知道可以拒絕該提交（或者如果它存在，則接受它）。

Answer 3

除了Cameron's answer：
您還可以使用防止cross-site request forgeries的相同機制。即不僅要設置一個會話變量來指示用戶訪問了您的網站，而且還要爲表單添加一個必須與會話數據中的值匹配的密鑰。一些框架爲此提供支持，例如Zend_Form_Element_Hash