在客戶網站上顯示的小工具

Question

我有一個小工具，我需要將其發佈到客戶網站上。它基本上是一個用戶填寫的表單，我們將數據做一些計算並顯示結果。我怎樣才能做到這一點，同時保護代碼在另一個不支付此服務的域上運行？

Answer 1

你可以創建一種服務密鑰（API密鑰），你簽約給你的客戶。客戶需要在他的服務器上放置一個小的PHP腳本來處理你的小部件輸入。該腳本根據您的服務建立了一個認證，從而打開服務會話（會話密鑰）。

會話密鑰可以公開使用，然後用於一個小部件請求。

然後可以在此會話中處理您的服務器上正在進行的處理。如果不存在這樣的會話，您的服務器將拒絕處理。

沒有爲服務付費的網站沒有服務密鑰，所以他們無法實例化會話。服務密鑰是您的服務和客戶之間的共享祕密。

使用此方法，您還可以跟蹤請求所屬的客戶。無論如何，檢查HTTP引用是安全的，這是一個破碎的概念。

Answer 2

最簡單的解決方案是檢查請求IP或HTTP refferer - 如果它在白名單上，則顯示結果。請注意，HTTP標頭可能是僞造的，並且依賴它們不是100％安全的。

更安全的是適應跨站請求僞造解決方案 - http://en.wikipedia.org/wiki/Cross-site_request_forgery。網上有很多文章，你可以從CSRF (Cross-site request forgery) attack example and prevention in PHP