API 请求：如何确保只有“允许”的网络表单会收到答复？

Question

我经营一个免费创建数字生成内容的网站。我的访问者也不需要帐户即可开始下载。它的工作原理很简单：最终用户填写表单，表单向 PHP 脚本（“API”）发送请求，然后 PHP 脚本返回结果。

                 ?                  
+---------+              +---------+
|         | -----------> |         |
|FORM.html|              | API.php |
|         |<-------------|         |
+---------+              +---------+
               digital              
               content              

目前，PHP 脚本将向任何使用正确参数调用它的对象发送答案。这使得其他网站很容易窃取我的表单并劫持我的服务。此外，足够熟练的人可以通过 CURL、WGET 或任何自动脚本请求此“数字内容”。所以，我的问题是：

问：在回答之前，我如何确保从我的网站上的表单发送请求？

到目前为止，我尝试的是在我的服务器上添加一个额外的 PHP 文件，该文件将“签署”请求 (authenticate.php)，然后将其发送到 API。那行得通，但是当然，它只是将问题转移到了这个新文件。这个脚本会愚蠢而愚蠢地签署所有扔给它的东西并将其传递给 API.php

我也考虑过在表单中​​添加额外的变量，但这也无济于事。黑客只需要识别和复制这些变量。

我不需要终极安全，因为它“只是”一幅画。但是 any 检查总比没有检查好。什么是明智的？

编辑：

我最关心的是使用我的 API 的其他网站。由于内容是免费的，我不太关心访问 API 的机器人或脚本。虽然防止这种情况也很好。

Answer 1

我也考虑过在表单中​​添加额外的变量，但这也无济于事。黑客只需要识别和复制这些变量。

您可以通过不每次都使用（并检查）相同的值，而是使用只能在有限时间内使用一次的令牌来增加难度。这基本上就是所谓的 CRSF 令牌。

一些关于该主题的更多信息的链接：

What is a CSRF token ? What is its importance and how does it work?
https://en.wikipedia.org/wiki/Cross-site_request_forgery
https://www.owasp.org/index.php/Cross-Site_Request_Forgery_(CSRF)

您尝试使用 CSRF 令牌应对的典型攻击/问题是某人触发了允许登录用户以他们的名义执行的操作；但是在像您在这里遇到的情况下，您可以以非常相似的方式实现它，以尝试阻止人们或机器人在不使用您的表单的情况下将数据发送到您的端点。

Answer 2

   Use google Captcha in your form
   https://www.google.com/recaptcha
   //take a leaf out of payment gateway validation
    $acceptfrom = array(
        'www.yourserver.com',
        'yourserver.com'
    );



    if( !in_array( $_SERVER['REMOTE_ADDR'], $acceptfrom ) )
    {
        //break and redirect to another page here
    } else {
    //include Captcha validation here
    //validate form variables and send to API

    }