Determinar Referer en PHP

Question

¿Cuál es la forma más confiable y segura de determinar qué página ya sea enviada o llamada (a través de AJAX), la página actual. No deseo utilizar el $_SERVER['HTTP_REFERER'], debido a la (falta de) confiabilidad, y necesito que la página a la que se llama solo provenga de solicitudes que se originen en mi sitio.

Editar: Estoy buscando para verificar que una secuencia de comandos que preforma una serie de acciones se llama desde una página en mi sitio web.

Answer 1

El REFERER es enviado por el navegador del cliente como parte del protocolo HTTP, y por lo tanto no es confiable. Puede que no esté allí, podría estar falsificado, simplemente no puedes confiar si es por razones de seguridad.

Si desea verificar si una solicitud procede de su sitio, no puede, pero puede verificar que el usuario ha estado en su sitio y/o está autenticado. Las cookies se envían en solicitudes AJAX para que pueda confiar en eso.

Answer 2

No hay manera confiable de verificar esto. Está realmente bajo la mano del cliente decirte de dónde vino. Se puede imaginar el uso de cookies o información de sesiones que se publican solo en algunas páginas de su sitio web, pero al hacerlo, se rompería la experiencia del usuario con los marcadores.

Answer 3

Hemos opción sólo único que queda después de leer todos los problemas referenciales falsos: es decir La página que deseamos incluir en el seguimiento de referencia debe ser guardado en la sesión, y como Ajax llamada a continuación, comprobar en sesión si tiene valor página de referencia y haciendo la acción de otra manera no hay acción.

Mientras que, por otro lado, como solicita cualquier página diferente, entonces el valor de la sesión de referencia es nulo.

Recuerde que la variable de sesión se configura solo en la solicitud de deseo de página.

Answer 4

Usando $_SERVER [ 'HTTP_REFERER']

La dirección de la página (si existe) que se refiere al agente de usuario a la página actual . Esto es establecido por el agente de usuario. No todos los agentes de usuario marcarán , y algunos proporcionan la capacidad de modificar HTTP_REFERER como una característica . En resumen, realmente no se puede confiar.

if (!empty($_SERVER['HTTP_REFERER'])) { 
    header("Location: " . $_SERVER['HTTP_REFERER']); 
} else { 
    header("Location: index.php"); 
} 
exit; 

Answer 5

Lo que he encontrado mejor es un CSRF token y guardarlo en la sesión de enlaces donde se necesita para verificar la URL de referencia.

Así que si usted está generando una devolución de llamada FB entonces sería algo como esto:

$token = uniqid(mt_rand(), TRUE); 
$_SESSION['token'] = $token; 
$url = "http://example.com/index.php?token={$token}"; 

Entonces el index.php se verá así:

if(empty($_GET['token']) || $_GET['token'] !== $_SESSION['token']) 
{ 
    show_404(); 
} 

//Continue with the rest of code 

Sé de sitios seguros que hacen el equivalente de esto para todas sus páginas seguras.