與頭 「原點」

Question

1. 驗證HTTP請求我在https://domain1.com
2. 我只想從https://domain2.com

問題接受請求REST API，我可以依靠的「原點「頭只接受來自的請求https://domain2.com？

注意這兩個網站都採用SSL安全

這將是這樣的：

$headers = getallheaders(); 
if($headers['origin'] != 'https://domain2.com'){ 
    return FALSE; 
} 

Answer 1

依託Origin標將類似於依靠一個Cookie。一個行爲良好的客戶端（例如瀏覽器）會以正確的值發送它。攻擊者只會將其惡意推向任何他們需要的價值，以便讓您的服務發揮作用。

您可以將其用作阻止某人直接從瀏覽器在其網站上使用您的API的方式。您不能用它來阻止某人通過代理使用您的API或直接訪問它來下載數據。