Détermination de Referer en PHP

Question

Quelle est la manière la plus fiable et la plus sûre de déterminer quelle page a été envoyée ou appelée (via AJAX), la page actuelle. Je ne veux pas utiliser le $_SERVER['HTTP_REFERER'], en raison de la (manque de) fiabilité, et j'ai besoin que la page soit appelée pour provenir uniquement de demandes provenant de mon site. Editer: Je cherche à vérifier qu'un script qui préforme une série d'actions est appelé à partir d'une page sur mon site Web.

Answer 1

Le REFERER est envoyé par le navigateur du client dans le cadre du protocole HTTP, et n'est donc pas fiable. Il pourrait ne pas être là, il pourrait être falsifié, vous ne pouvez pas lui faire confiance si c'est pour des raisons de sécurité.

Si vous souhaitez vérifier si une demande provient de votre site, eh bien vous ne pouvez pas, mais vous pouvez vérifier que l'utilisateur a été sur votre site et/ou est authentifié. Les cookies sont envoyés dans les requêtes AJAX afin que vous puissiez compter sur cela.

Answer 2

Il n'existe aucun moyen fiable de vérifier cela. C'est vraiment sous la main du client de vous dire d'où ça vient. Vous pouvez imaginer utiliser des cookies ou des informations sur les sessions mises seulement sur certaines pages de votre site Web, mais en faisant cela, votre expérience utilisateur avec les signets serait rompue.

Answer 3

Nous avons seulement seule option qui reste après avoir lu tous les faux problèmes referrer: -à-dire La page que nous désirons suivre comme referrer devrait être maintenu en session, et comme ajax appelé alors la vérification en session si elle a une valeur de page referrer et faire l'action autrement sage aucune action. D'autre part, comme il demande une page différente, alors la valeur de la session de référant est nulle. N'oubliez pas que la variable de session est définie uniquement sur la demande de page désirée.

Answer 4

En utilisant $_SERVER [ 'HTTP_REFERER']

L'adresse de la page (le cas échéant) qui a renvoyé l'agent utilisateur à la page en cours . Ceci est défini par l'agent utilisateur. Tous les agents utilisateurs ne définiront pas cela, et certains permettent de modifier HTTP_REFERER en tant que fonctionnalité . En bref, on ne peut pas vraiment faire confiance.

if (!empty($_SERVER['HTTP_REFERER'])) { 
    header("Location: " . $_SERVER['HTTP_REFERER']); 
} else { 
    header("Location: index.php"); 
} 
exit; 

Answer 5

Ce que j'ai trouvé meilleur est un jeton CSRF et l'enregistrer dans la session pour des liens où vous avez besoin de vérifier le referrer.

Donc, si vous générez un rappel de FB, alors il ressemblerait à quelque chose comme ceci:

$token = uniqid(mt_rand(), TRUE); 
$_SESSION['token'] = $token; 
$url = "http://example.com/index.php?token={$token}"; 

Alors le index.php ressemblera à ceci:

if(empty($_GET['token']) || $_GET['token'] !== $_SESSION['token']) 
{ 
    show_404(); 
} 

//Continue with the rest of code 

Je connais des sites sécurisés qui font l'équivalent de cela pour toutes leurs pages sécurisées.