如何使用用户名/密码阻止对服务器的请求？

Question

我们已经意识到，当将URL http://Keyword:redacted@example.com/复制并粘贴到浏览器的地址栏中时，它将重定向到http://example.com/。

据我了解，这可能会用于某些ftp连接，但我们在我们的网站上没有这样的用途。我们怀疑我们是受到攻击的目标，并且已被Google警告我们将PII（主要是电子邮件地址）通过我们的URL请求传递给其Google Adsense网络。我们一直未能找到消息来源，但我们已被警告说违规行为的形式为http://Keyword:redacted@example.com/

我们如何阻止这种情况发生？
什么URL重定向方法，我们可以用来不接受这个，并返回一个错误消息？

Answer 1

仅供参考我在客户网站上遇到过类似的问题，并跟进了Adsense的支持。此事升级为专家团队，调查并确定标有http://Keyword:redacted@example.com/格式的违规行为将被视为误报。我不确定这是否适用于所有发布商或针对我们的具体情况，但可能需要跟进AdSense支持。

Answer 2

没有什么可以做的。在甚至考虑到与您的服务器“交谈”之前，这完全由您的浏览器处理。

这是一个奇怪的URL，用于人们复制/粘贴到浏览器的地址栏，除非他们已被告知/训练如此。你最好的选择是告诉他们停止它！ :-)

我想你可以看看HTTP授权标题，并报告错误，如果他们来填充...（这将在$_SERVER['PHP_AUTH_USER']在PHP中。）我从来没有看过这些值时， t请求他们，所以我不知道它是否会工作或不...

Answer 3

语法http://abc:def@something.com意味着你发送userid ='abc'，password ='def'作为基本认证参数。您的浏览器将提取用户名密码并将其作为身份验证信息发送出去，从而使网址保持不变。

正如Peter Bowers所提到的，您可以检查授权标题并查看它们是否以这种方式进入，但如果他们想要，则无法阻止其他人执行此操作。如果它发生了很多，那么我会怀疑某个地方有一个Web表单，要求用户输入他们的用户名/密码，并且这种方式正在被编码。侦察它的一种方法是查看是否可以通过指定的用户标识来识别某人。

有Keyword:redacted听起来很奇怪。 Google Adsense可能会改变这些值，以避免包含机密信息。