保护信用卡结帐 - $ _SERVER ['HTTP_REFERER']验证

Question

如果$_SERVER['HTTP_REFERER']根据PHP文档不可信，您如何确定POST来自我们自己的服务器？会议是唯一的方法吗？

Answer 1

你应该看看标准的“跨站点请求伪造”预防技术。这些将为您提供一些安全性，以便通过您的服务器/代码发布信息。

Answer 2

使用随机数字段并在表单上对其进行验证。使用随机数（一次使用的数字）是防止跨站点请求伪造（CSRF）黑客攻击的最佳方法。

下面这个库将基于WordPress的是如何处理现时领域是你http://fullthrottledevelopment.com/php-nonce-library

它非常有帮助。

您不妨看看wordpress代码，看看它如何处理随机数。有两个函数wp_create_nonce（）用于创建要在要提交的表单的隐藏字段中使用的随机数值，然后提供wp_verify_nonce（）验证提交后的随机数。