如何阻止訪問用於嵌入的Web應用程序？

Question

我有一個網絡應用程序http://embed.myapp.com，旨在將其嵌入一些白名單網站。框架訪問控制在X-Frame-Options ALLOW-FROM

但是，我不希望用戶通過將上述鏈接直接放入Web瀏覽器來訪問它。

阻止普通（非嵌入式）訪問的最佳方式是什麼？

我可以確定網站是否嵌入了JavaScript，但到那時已經創建了一個會話，並且可以看到某些敏感信息，如CSRF令牌。

Answer 1

您可能並不完全瞭解阻止用戶直接查看內容的絕對萬無一失的方法。

捕獲大多數情況的一種簡單方法是查看服務器端的引用標頭（http://www.w3.org/Protocols/rfc2616/rfc2616-sec14.html部分14.36），並僅在從正確的頁面引用內容時才提供內容。