PHP安全性，仅允许来自特定URL的$ _REQUEST

Question

我有一个简单的PHP脚本，它接受来自javascript Ajax调用的$_REQUEST并向数据库添加帖子

但我需要确保只允许来自我的域名的javascript请求，以防止有人向我的数据库提交数以千计的垃圾帖子。

我的问题是，如何确保我的脚本仅接受来自我的域的$_REQUEST？

由于

Answer 1

简短的回答是：你不能。

听起来就像你需要引入针对CSRF的常规防御（即生成随机安全令牌并将其存储在cookie（或会话）以及HTML文档中。然后你提交令牌作为您的请求的一部分，并将其与cookie中的令牌进行比较。如果它们匹配，那么它是来自用户的故意帖子而不是他们的浏览器被其他网站欺骗提出请求。）

这不会阻止人们提交数以千计的垃圾邮件＆＃34;虽然。您还需要对用户进行身份验证，并在允许用户通过之前检查他们是否有权提交。

您还可以考虑包括限速检查和垃圾邮件过滤。

Answer 2

你使用的秘密＆＃39;密钥，响应和远程IP验证。

Google为您提供了

• https://developers.google.com/recaptcha/docs/verify
• https://developers.google.com/recaptcha/docs/display
• https://developers.google.com/recaptcha/docs/invisible#auto_render

就像一个魅力。 实施后，您可以在此处获得 ADMIN面板：

• https://www.google.com/recaptcha/admin

此时您将域设置为仅限您的网址。

您可以执行所需操作，并确保使用服务器端和客户端集成的两个密钥从您的域验证表单。如果有人试图生成＆＃34;键＆＃34;使用他们的域名recaptcha会将其检测为垃圾邮件。 （参见上面的验证链接）