如何保护静态HTML链接

Question

我工作的公司希望提供一种方法，以允许我们的客户提供指向我们网站的链接，以允许他们自己的客户安排通过我们向他们付款。

我们希望该解决方案尽可能简单易用。 我们的客户不太可能在他们身边进行任何形式的脚本编写程序，因此我们只想向他们提供一个链接，他们可以使用该链接来可靠地识别哪些客户将该人发送到了我们的网站。

我的第一个想法是简单地使用查询字符串来传递其唯一标识符作为参数。 我们将为他们生成此链接，甚至在我们自己的服务器上为其托管一个映像。 我们既不希望观察者可以访问其标识号，也不希望我们的客户必须建立自己的链接。

我们提出的唯一解决方案是简单地使用时间戳对本地标识符进行加密，将创建事件存储在我们的数据库中，并在我们的网站被点击时使用此信息来检查查询字符串中提供的加密值。

这可以防止数据泄漏（据我们所知），但不能阻止任何人复制链接并在任何地方使用（但实际上，我们希望我们的客户能够将其粘贴在任何地方并且可以正常工作）。

我们是否在安全性方面进行了重大折衷以简化易用性？ 相反，我们是否应该只设置一个帐户供我们特定客户使用，以至少实施安全性的“想法”（所有客户的共享登录名也不是很安全，是吗？）

最终，我们的目标是使其成为一个快速，透明的过程。 我们是否必须牺牲安全性才能使其快速透明？

Answer 1

这就是我要做的

1. 对链接进行秘密签名，以便其他任何人都不能构成随机链接。
2. 添加参数以标识合作伙伴站点。
3. 为站点配置了允许的引荐来源清单。
4. 收到请求后，请检查签名并强制引用。

这不是超级安全，但可以满足您的大多数要求。