阻止来自其他网站的请求到我的服务器[重复]

Question

考虑以下 Web 应用程序：前端包含一个按钮和一些滑块。按下按钮时，会向服务器发送一个请求以及滑块值。服务端调用python脚本，根据slider的值生成一些内容，然后显示在前端。

如何防止其他人实现向同一服务器发送请求以生成内容的类似应用程序？

Answer 1

如果您的问题是另一个站点调用您的服务，一个简单的解决方案是检查收到的请求的 Origin 标头是否等于您的主机名和/或域。

像这样：

<?php

// This will check the Origin header

if($_SERVER['HTTP_ORIGIN'] == "http://yoursite.com") {
    header('Access-Control-Allow-Origin: http://yoursite.com');
    // your custom logic to return the slide content
} else {
   // return a 404 error
}

更深入的解释和完整的代码示例可以在以下位置找到：

• https://developer.mozilla.org/en-US/docs/Web/HTTP/Server-Side_Access_Control

Answer 2

您正在寻找的解决方案称为CSRF (Cross-Site request forgery)。为了防止这种情况发生，您需要遵循一些基本步骤

1. 生成唯一令牌（类似于哈希）
2. 将此令牌发送到前端并在请求 URL 中使用此哈希（可能在请求负载或查询参数中）
3. 在服务器上收到请求后，验证哈希
4. 如果哈希是有效的，请继续您的操作并作为响应生成一个新的哈希（然后将在下一个请求中使用）并销毁当前的哈希（这样它就不能被重复使用）
5. 如果哈希无效，则拒绝请求并显示一些错误消息

以下是您可能需要查看的一些参考资料：

• https://stackoverflow.com/a/2526579/2520628
• https://www.sitepoint.com/preventing-cross-site-request-forgeries/
• How to properly add CSRF token using PHP