1
Bisher habe ich versucht, wie etwas zu machen:Ist es möglich, API mit diesen Methoden zu schützen?
- überprüfen Benutzer IP-Adresse und
- Moderator Wenn beide übereinstimmen Host-& IP erlaubt, ermöglichen den Zugang
- Wenn nein, Anzeigefehler
Ich baue API, und bis jetzt kommen alle Anfragen nur von meinem Host. Und hier ist das Problem:
- Wie diese Anforderungen ermöglichen, nur dann ausgeführt werden, wenn sie von den lokalen Host kommen (es gibt nur wenige, die nur von bestimmten Host ausgeführt werden sollen, Rest Methoden sollte öffentlich zugänglich sein)
- Wie man Leute davon abhält, Referer zu spoofen und x-weitergeleitet
- Ist es überhaupt möglich?
Hier sind einige Bits von Code:
SetZugang Origin-Header
if(isset($_SERVER['HTTP_REFERER'])) {
$refererProtocol = str_replace(':', '', substr($_SERVER['HTTP_REFERER'], 0, strpos($_SERVER['HTTP_REFERER'], "/")));
$refererHost = str_replace($refererProtocol . '://', '', $_SERVER['HTTP_REFERER']);
$ACAO = $refererProtocol . '://' . substr($refererHost, 0, strpos($refererHost, "/"));
$this->accessControl = [
'allow_origin' => $ACAO,
'from_referer' => true
];
header("Access-Control-Allow-Origin: " . $ACAO);
} else {
$this->accessControl = [
'allow_origin' => 'https://' . $_SERVER['HTTP_HOST'],
'from_referer' => false
];
header("Access-Control-Allow-Origin: " . 'https://' . $_SERVER['HTTP_HOST']);
}
prüfenAnfrage Herkunft
$localHost = 'https://' . $_SERVER['SERVER_NAME'];
if ($this->accessControl['allow_origin'] === $localHost || $this->accessControl['allow_origin'] === $this->Settings['allow_host']) {
if (isset($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$this->JSON->apiError(403, 'You are not allowed to execute this method', ['MyAPI', 'onlyLocalHost']);
return false;
} else {
if ($this->Settings['allow_ip'] === $_SERVER['REMOTE_ADDR']) {
return true;
} else {
$this->JSON->apiError(403, 'You are not allowed to execute this method', ['MyAPI', 'onlyLocalHost']);
return false;
}
}
} else {
$this->JSON->apiError(403, 'You are not allowed to execute this method', ['MyAPI', 'onlyLocalHost']);
return false;
}
Und alles hätte perfekt sein können, außer einer Sache: ich habe CloudFlare laufen und natürlich kann ich nicht mehr nach REMOTE_ADDR suchen.
Gibt es also mögliche Lösungen für dieses Problem?
Es wird besser sein, wenn Sie einige Token mit Ihrer Anfrage passieren solche Host – siddhesh
@siddhesh zu identifizieren, yep, schon mit, aber das Problem ist, können die Menschen kopieren noch Token und es verwenden, um Bypass so genannte "Sicherheit" –
können Sie Token Zeit basiert bedeutet, dass nach bestimmten Zeit Token ändern sagen 15 min oder 1 Tag wird es nicht die 100% Lösung, sondern reduziert den Hack wenn jemand das Token noch nicht gültig nach einiger Zeit – siddhesh