Lors de la création d'une application Web ou d'un site Web impressionnante, nous voulons parfois que les gens puissent intégrer des parties de notre application / site Web Web. Cela pourrait être un iframe tenant un bouton «like», une image simple qu'ils souhaitent réutiliser ou même notre application entière intégrée dans un iframe.
Mais comment contrôlons-nous qui a accès, qui est autorisé à utiliser notre bande passante et à interroger notre service?
Nous définissons le problème comme contrôler l'accès à actifs
par des actifs, nous entendons: tout ce qui peut être interrogé de notre site.
En parlant du contrôle d'accès, nous entrons dans le domaine de la sécurité. Et lorsque vous parlez de sécurité, la liste blanche devrait être l'approche adoptée pour résoudre le problème. Il est plus facile de contrôler qui est autorisé à accéder à vos actifs que pour contrôler qui ne l'est pas. Il est tout simplement impossible de connaître tous les monstres de boogie d'Internet.
pour protéger nos Assets , nous embauchons un portier pour ne laisser que ceux auxquels nous avons confiance. Une fois embauché, nous lui donnons accès à une liste blanche que nous contrôlons et lui laissons faire tout le levage. Problème résolu. Mais comment le portier devrait-il soulever?
Selon la sécurité que vous souhaitez que le gardien soit et ce que le client a demandé, différentes tactiques peuvent être utilisées.
Une approche commune utilisée consiste à vérifier l'en-tête du référence. Cette méthode a 3 grands inconvénients:
Cependant, pour les actifs statiques tels que les images, JS et CSS, ces inconvénients ne sont pas un problème. Vos actifs ne doivent être chargés que lorsque les utilisateurs visitent notre site Web directement (ou à partir d'un site de confiance). L'idée générale est de bloquer les autres les hotlinking. Le référent sera donc toujours sur votre liste blanche. Sauf si vous ne vous faites pas confiance - mais vous avez alors des problèmes plus importants.
Selon la configuration utilisée, la requête réalisée passe par une série de portes . La configuration simple est: Client -> HTTP Server -> Code d'application
Alors, où est votre gardien? Le client est de facto non pour le contrôle d'accès car il est un morceau d'humain peu fiable. Le serveur HTTP et le code d'application en revanche sont des options utiles. Les deux nous donnent des outils solides pour vérifier le http_host.
La force de faire en sorte que votre serveur HTTP gère votre contrôle d'accès est la vitesse. Il n'est pas nécessaire de déclencher le code de demande pour chaque demande. Cela peut améliorer considérablement les performances car nous n'avons pas besoin de charger une pile / thread d'application entière (par exemple mod_php) dans la mémoire.
Selon votre serveur HTTP, différentes solutions sont disponibles.
Dans Apache, il existe deux méthodes différentes. Nous pouvons utiliser mod_rewrite ou permettre / nier.
La méthode mod_rewrite:
# Turn mod_rewrite on
RewriteEngine On
# if it is not trusted.domain.tld block it
RewriteCond %{HTTP_REFERER} !^trusted\.domain\.tld$ [NC]
RewriteCond %{HTTP_REFERER} !^trusted\.tld$ [NC]
RewriteRule ^ - [F]mod_rewrite est pris en charge par la plupart des fournisseurs d'hébergement.
La méthode Autoriser / Deny:
#specify the files to guard, block all the assets <files "*.*"> #block everyone Deny from all #allow trusted ones Allow from trusted.tld trusted.domain.tld </files>
tous les hôtes ne prennent pas en charge ces paramètres.
La HttprefermerModule dans Nginx nous donne le Valid_Referers vraiment cool: donc tout ce que nous devons faire est, renvoyez le code HTTP 444 lorsqu'un domaine non fixe essaie d'accéder à nos actifs:
… Code non fixe 444 CODE 444 la connexion sans envoyer de têtes…
location / {
valid_referers trusted.tld trusted.domain.tld;
if ($invalid_referer) {
return 444;
}
}Le gros problème ici est l'évolutivité: que se passe-t-il si nous avons 1000 domaines qui doivent pouvoir accéder à nos actifs? Et si la liste des domaines change fréquemment?
Pour chaque petit montage, nous aurions besoin de plonger dans nos fichiers de configuration - et plus vous changez manuellement, plus vous pouvez mal tourner.
Avoir votre contrôle d'accès au niveau de votre code d'application signifie beaucoup plus de flexibilité. On pourrait avoir son gardien en marche en un rien de temps:
<span><span><?php
</span></span><span><span>//the whitelist we control
</span></span><span><span>$whitelist = array(
</span></span><span> <span>'trusted.tld',
</span></span><span> <span>'trusted.domain.tld'
</span></span><span><span>);
</span></span><span>
</span><span><span>//the referer
</span></span><span><span>$referer = parse_url($_SERVER["HTTP_REFERER"], PHP_URL_HOST);
</span></span><span>
</span><span><span>//the gatekeeper
</span></span><span><span>if ( !in_array($referer, $whitelist) )
</span></span><span><span>{
</span></span><span> <span>throw new GateKeeperDoesNotApprove;
</span></span><span><span>}</span></span>Comme mentionné, le fait de compter sur le référence n'est pas toujours une bonne idée. Ce ne sont pas seulement les données de notre humain peu fiable, mais il ne nous donne pas non plus de moindre indice pour savoir si nous sommes dans un iframe ou non. Il n'y a tout simplement aucun moyen de savoir.
Nous pourrions cependant embaucher un tueur à gages pour aider notre gardien. Notre hitman sera envoyé aux humains qui semblent suspects (par exemple, ceux avec un référent non fiable). Le Hitman utilisera JS comme arme:
# Turn mod_rewrite on
RewriteEngine On
# if it is not trusted.domain.tld block it
RewriteCond %{HTTP_REFERER} !^trusted\.domain\.tld$ [NC]
RewriteCond %{HTTP_REFERER} !^trusted\.tld$ [NC]
RewriteRule ^ - [F]Malheureusement, quelqu'un qui arrive d'un domaine non fiable a le même référente que quelqu'un d'autre qui nous accède à une iframe à partir de ce domaine non fiable. Les actifs, cependant, auront le référentiel défini sur notre domaine (même dans une situation d'IFRAME) - donc l'envoi d'un hitman ici est exagéré. Le simple fait de nier l'accès est suffisant - ou vous pouvez envoyer une image de chaton aléatoire.
C'est pourquoi nous avons notre hitman, vérifiez si nous sommes dans un iframe. Si c'est le cas, nous l'avons tuer notre cible:
#specify the files to guard, block all the assets <files "*.*"> #block everyone Deny from all #allow trusted ones Allow from trusted.tld trusted.domain.tld </files>
La seule chose que nous devons savoir est de demander à notre gardien d'ajouter le hitman à la charge utile envoyée au client. Facile!
location / {
valid_referers trusted.tld trusted.domain.tld;
if ($invalid_referer) {
return 444;
}
}Ce code n'est pas une preuve de production. Il sert d'exemple.
Les solutions fournies ici vous garderont contre la plupart des monstres de boogie. Mais les deux solutions ne sont pas des fous. Le premier utilise les données du client, le second est JavaScript qui est exécuté par le client.
La manière sécurisée consiste à utiliser un gardien basé sur des jetons. Oauth est probablement le gars que vous voulez pour le travail ici, mais c'est en dehors de la portée de cet article.
Les méthodes de restriction d'accès aux actifs sont des stratégies utilisées pour empêcher l'accès non autorisé aux actifs numériques. Ces méthodes incluent le blocage IP, qui consiste à bloquer l'accès à partir d'adresses IP spécifiques; Geo-Blocking, qui restreint l'accès basé sur l'emplacement géographique; et le blocage des agents utilisateur, qui empêche l'accès de navigateurs ou d'appareils spécifiques. Les autres méthodes incluent le blocage des références HTTP, qui restreint l'accès en fonction du site Web de référence et la protection des mots de passe, qui oblige les utilisateurs à saisir un mot de passe pour accéder.
Le blocage IP est une méthode utilisée pour empêcher les adresses IP spécifiques d'accéder à un actif numérique. Cela se fait en ajoutant les adresses IP à une «liste noire» dans le fichier de configuration du serveur. Toutes les demandes provenant de ces adresses IP seront refusées, ce qui les empêche effectivement de l'accès à l'actif.
Geo-bloging est utilisé pour restreindre l'accès aux actifs numériques en fonction de la localisation géographique. Ceci est souvent utilisé pour se conformer aux accords de licence régionale ou pour empêcher l'accès des régions connues pour les cyberattaques. Le blocage géo-bloquant fonctionne en déterminant l'emplacement de l'utilisateur en fonction de son adresse IP.
Le blocage de l'agent utilisateur est une méthode utilisée pour empêcher des navigateurs ou des appareils spécifiques d'accéder à un actif numérique. Cela se fait en identifiant la chaîne d'agent utilisateur, qui est envoyée par le navigateur ou le périphérique lors de la demande au serveur. Si la chaîne d'agent utilisateur correspond à une sur la «liste noire» du serveur, la demande sera refusée.
HTTP Le blocage des références est Une méthode utilisée pour restreindre l'accès en fonction du site Web de référence. Cela se fait en vérifiant l'en-tête de référence HTTP, qui contient l'URL du site Web d'où la demande provient. Si le référent se trouve sur la «liste noire» du serveur, la demande sera refusée.
La protection du mot de passe est une méthode utilisée pour restreindre l'accès à un Asset numérique en obligeant les utilisateurs à saisir un mot de passe. Ceci est souvent utilisé pour les actifs privés ou sensibles. Le serveur invitera l'utilisateur à un mot de passe lorsqu'il essaie d'accéder à l'actif, et seuls ceux qui entrent le mot de passe correct seront accordés à l'accès.
Oui, les méthodes de restriction d'accès à plusieurs actifs peuvent être utilisées ensemble pour fournir un niveau de sécurité plus élevé. Par exemple, vous pouvez utiliser le blocage IP pour empêcher l'accès à partir d'adresses IP spécifiques, puis utiliser la protection des mots de passe pour restreindre davantage l'accès aux utilisateurs autorisés uniquement.
La mise en œuvre des méthodes de restriction d'accès aux actifs sur votre site Web implique généralement de modifier le fichier de configuration de votre serveur. Le processus exact dépendra du logiciel du serveur que vous utilisez et de la méthode de restriction spécifique que vous souhaitez implémenter.
Alors que les méthodes de restriction d'accès aux actifs d'accès aux actifs Peut fournir un niveau élevé de sécurité, ils peuvent également potentiellement bloquer les utilisateurs légitimes. Par exemple, le blocage IP peut bloquer les utilisateurs qui utilisent un VPN ou un proxy, et le géo-bloquant peut bloquer les utilisateurs qui voyagent à l'étranger. Par conséquent, il est important de considérer soigneusement l'impact potentiel sur les utilisateurs avant de mettre en œuvre ces méthodes.
Les alternatives aux méthodes de restriction d'accès aux actifs incluent l'utilisation d'une livraison de contenu Réseau (CDN) pour distribuer vos actifs, à l'aide d'un pare-feu pour protéger votre serveur, ou à l'aide d'un plugin ou d'un service de sécurité qui fournit une gamme de fonctionnalités de sécurité. Ces alternatives peuvent fournir un niveau élevé de sécurité sans les inconvénients potentiels des méthodes de restriction d'accès aux actifs.
Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!
paramètres des variables d'environnement Java
Comment supprimer des pages vierges dans Word
Comment ouvrir le fichier HTML WeChat
Comment utiliser Spyder
À quoi fait référence l'écriture en python ?
Solution de délai d'expiration des requêtes du serveur
Puis-je récupérer une courte vidéo Douyin supprimée ?
Quel logiciel est ouvert ?
![[Web front-end] Démarrage rapide de Node.js](https://img.php.cn/upload/course/000/000/067/662b5d34ba7c0227.png)
