：依靠$ _SERVER ['HTTP_REFERER']變量來檢查主機域是否安全？

我實施一個JS插件，與源代碼中的窗口小部件是上domain1.com 微件（觀看者）的主機上domain2.com

在domain1.com我使用PHP作爲服務器的腳本語言。

我需要的是檢查小部件託管域是否被允許從服務於小部件服務的domain1.com獲取答案。

我想進行這樣的事情：

上domain2.com：

<html> 
    <head></head> 
    <body> 
     <div id="widget-container"></div>   
    </body> 
    <script src="http://domain1.com/widget/viewer.php" type="text/javascript"></script> 
</html>

上domain1.com：

<?php 
    if(in_array($_SERVER['HTTP_REFERER'], $allowedDomains)){ 
     /* echo all widget goodness*/ 
    }else{ 
     die('you\'ve not permission to get this service'); 
    } 
?>

是否可靠檢查$_SERVER['HTTP_REFERER']變量授予主機域來訪問我的小部件？

來源

2012-08-31 kante

你的安全意味着什麼？引用者可能是僞造的，但取決於您希望的安全級別，它將被接受與否。 – Jarry

與安全我的意思是，如果有任何機會，該引薦人可能是空的或改變。因爲只有我允許訪問我的小部件數據到某個帶有小部件託管頁面的domainname.com，如果有機會，如上所述，它不會獲得任何數據 – kante

不，它不安全，引用者可以隨意篡改。

看到referer-control

事實上，在請求什麼都可以僞造。

你應該看看別的東西來保護你的小部件，比如https +會話。

來源

2012-09-04 00:28:21 Jarry

：依靠$ _SERVER ['HTTP_REFERER']變量來檢查主機域是否安全？

回答

相關問題