如何保護靜態HTML鏈接

Question

我工作的公司希望提供一種方法，以允許我們的客戶提供指向我們網站的鏈接，以允許他們自己的客戶安排通過我們向他們付款。

我們希望該解決方案盡可能簡單易用。 我們的客戶不太可能在他們身邊進行任何形式的腳本編寫程序，因此我們只想向他們提供一個鏈接，他們可以使用該鏈接來可靠地識別哪些客戶將該人發送到了我們的網站。

我的第一個想法是簡單地使用查詢字符串來傳遞其唯一標識符作為參數。 我們將為他們生成此鏈接，甚至在我們自己的服務器上為其托管一個映像。 我們既不希望觀察者可以訪問其標識號，也不希望我們的客戶必須建立自己的鏈接。

我們提出的唯一解決方案是簡單地使用時間戳對本地標識符進行加密，將創建事件存儲在我們的數據庫中，並在我們的網站被點擊時使用此信息來檢查查詢字符串中提供的加密值。

這可以防止數據泄漏（據我們所知），但不能阻止任何人復制鏈接並在任何地方使用（但實際上，我們希望我們的客戶能夠將其粘貼在任何地方並且可以正常工作）。

我們是否在安全性方面進行了重大折衷以簡化易用性？ 相反，我們是否應該只設置一個帳戶供我們特定客戶使用，以至少實施安全性的“想法”（所有客戶的共享登錄名也不是很安全，是嗎？）

最終，我們的目標是使其成為一個快速，透明的過程。 我們是否必須犧牲安全性才能使其快速透明？

Answer 1

這就是我要做的

1. 對鏈接進行秘密簽名，以便其他任何人都不能構成隨機鏈接。
2. 添加參數以標識合作伙伴站點。
3. 為站點配置了允許的引薦來源清單。
4. 收到請求后，請檢查簽名並強制引用。

這不是超級安全，但可以滿足您的大多數要求。