我可以只接受来自域名的发帖请求吗？答案

【问题标题】：Can I accept post request only from a domain name?我可以只接受来自域名的发帖请求吗？
【发布时间】：2015-01-09 01:48:45
【问题描述】：

我正在我的应用程序中实施一种付款方式，银行网站发回一个包含付款信息的发布请求，例如状态、付款 ID ...

但是为了确保请求不是来自试图做坏事的人，我可以只接受来自我的银行系统的请求吗？我正在寻找一些东西来检查此操作/控制器的请求仅来自 mybank.com 并跳过其他。

【问题讨论】：

我不明白你的问题。请进一步解释。我们可以看看你实现了什么吗？
我有一个带有 payment_response 动作的控制器。当用户付款时，银行服务器会使用 xml 作为 post 回调此操作。我想做的是将这个路由/动作限制在某个域名，即银行域名。
如果您的支付处理器不提供验证支付的方式，那么是时候寻找新的支付处理器了。

【解决方案1】：

You can constrain the route:

post 'yourpath', to: 'controller#action', constraints: { protocol: 'https://', host: 'yourbank' }

【讨论】：

银行给了我唯一的服务器ip。发布 'bank_response' => 'bank#payment_response'，约束：{ ip: "127.0.0.1" } 谢谢

【解决方案2】：

您可以尝试检查referer并拒绝不匹配的请求：

if request.referer.starts_with?('https://your.bank/') # or request.env['HTTP_REFERER']
  # do stuff
else
  # render error
end

但不是：a) 推荐人不安全。每个人都可以伪造它们。 b) 您的银行很可能没有发送推荐人。

我会研究其他解决方案：只允许来自您银行 IP 范围的请求，并要求银行使用机密进行身份验证。

【讨论】：