IP白名單爲管理界面

對於一個巨大的項目，我們將做一個「superadmin」登錄（所有其他管理工作直接在前端）的地方，你可以改變很多事情。IP白名單爲管理界面

由於安全性確實非常重要，我一直在考慮只允許具有特定IP的用戶進行連接。有誰知道這樣做的網站，它是過度保護，或者你能推薦另一種真正安全的管理方式嗎？只有在Chrome或Firefox中有一些有用的可能性時，我們才能使其適用於特定的瀏覽器。

FYI前端是JavaScript的，HTML和CSS只

來源

2014-02-25 Morten Hjort

'另一種真正安全的方式'阻止你在你的前端Javascript中使用它。在服務器端進行。 – Lloyd

用戶管理不是用於後端的任務，而不是前端？ – Joseph

在你的javascript中的IP阻塞並不是非常有用，有人可以改變它的價值......爲了安全起見，你需要*讓後端驗證和限制所有內容，而不是你的前端js。 – gpgekko

將沒有意義做客戶端，因爲沒有什麼真正停止從修改/禁用您的JS攻擊者。

所以只有安全選項是服務器端。我自己在PHP中使用CMS系統。

UPDATE：樣品實施

在該項目中，我使用了GeoIP的服務（如this one從的MaxMind）

function geoIPRequest($ip){ 
    $params = getopt('l:i:'); 

    if (!isset($params['l'])) $params['l'] = '<userIDtoMaxMind>'; 
    if (!isset($params['i'])) $params['i'] = $ip; 

    $query = 'https://geoip.maxmind.com/a?' . http_build_query($params); 

    $curl = curl_init(); 
    curl_setopt_array(
     $curl, 
     array(
      CURLOPT_URL => $query, 
      CURLOPT_USERAGENT => 'MaxMind PHP', 
      CURLOPT_RETURNTRANSFER => true 
     ) 
    ); 

    $countryCode = curl_exec($curl); 

    if (curl_errno($curl)) { 
     throw new Exception(
      'GeoIP request failed with a curl_errno of ' 
      . curl_errno($curl) 
     ); 
    } 
    return $countryCode; 
} 

$countryCode = geoIPRequest($_SERVER['REMOTE_ADDR']); 

if(!in_array($countryCode, array('DE', 'DK', 'EU', 'GB', 'SE'))){ 
    header('HTTP/1.0 403 Forbidden'); 
    echo "You don't have access"; 
    exit(); 
}

上面的代碼是從示例代碼適應上的MaxMind網站

你當然需要適應你的用例。對我而言，特定的國家已經夠好了。如果您需要將特定的 IP列入白名單，我建議您創建一個包含白名單IP的數據庫表，然後在有人請求您的管理頁面時查詢該表。

來源

2014-02-25 13:00:09 Lasse

有趣。你是怎麼做到的？ –

@MortenHjort我在回答中添加了一個完整的示例。請記住，爲了清晰起見，我簡化了一下。您可能需要考慮您使用的GeoIP服務的緩存結果。 – Lasse

當某人使用正好在同一區域的代理/ VPN時，它的價格如何？或者當第三方服務出現故障時？它可以削弱系統。 – Joseph