有没有办法确保 POST 数据来自特定的主机？

Question

我有一个 PHP 脚本，其中 POST 数据来自已知来源非常重要。 从“类似标题”来看，没有真正的方法可以做到这一点，因为标题可以被欺骗。 SERVER_ADDR也可以被欺骗吗？ 这可以用作某种验证从哪里发布数据吗？

Answer 1

不考虑 PHP，依赖于 IP 地址，请求似乎来自是一种相当薄弱的安全形式。 您应该考虑使用 HTTPS 并将单个客户端证书分发给每个受信任的来源。

SSL 一开始可能会让人望而生畏，但你需要的东西一点也不复杂，学习它你会获得宝贵的技能。

Answer 2

if($_SERVER['REMOTE_ADDR'] != '127.0.0.10') {
    die('Not allowed!);
}
// rest of script...

$_SERVER['REMOTE_ADDR'] 不是来自客户端提供的标头（它由 apache 提供，来自网络堆栈）并且不能被欺骗。