如何限制JSON访问？

我有一个Web应用程序从我新创建的JSON API中提取数据.

我的静态HTML页面通过JavaScript从静态HTML页面动态调用JSON API.

如何限制对我的JSON API的访问,以便只有我(我的网站)可以从中调用？

如果它有帮助,我的API类似于:http://example.com/json/？var1 = x&var2 = y&var3 = z ...它根据查询生成适当的JSON.

我正在使用PHP来生成我的JSON结果...可以限制对JSON API的访问就像检查$_SERVER['HTTP_REFERER']以确保仅从我的域而不是远程用户调用API一样简单吗？

1> fearphage..：

---

限制对域的访问的常用方法是在内容前面添加无限运行的内容.

例如:

while(1);{"json": "here"} // google uses this method
for (;;);{"json": "here"} // facebook uses this method

因此,当您通过XMLHttpRequest或仅限于您的域的任何其他方法获取此内容时,您知道需要解析无限循环.但是如果它是通过脚本节点获取的:

它会失败,因为脚本永远不会超出第一个语句.

---

除了任何人仍然可以从服务器端代码调用它没有任何麻烦,只是删除循环.

---

是的,JameZ,这是正确的.JSON前面的无限循环将阻止您的JSON加载到脚本节点中.是的,它不会阻止从服务器到服务器的访问.这不是一个解决所有问题的解决方案.这只是另一层安全.它将阻止使用脚本节点在客户端加载数据.

---

Amarghosh:你的解释来自同一个领域.但是,xhr受域限制.回答你的问题:不,你不能.

---

有些还在json之前返回不可解析的代码,例如,angularjs在json响应的开头需要一个`)]}',\n`.

2> Greg Hewgill..：

---

我认为您可能误解了从用户的浏览器而不是从您自己的服务器发起JSON请求的部分.静态HTML页面被传递到用户的浏览器,然后它转过来并在页面上执行Javascript代码.此代码打开一个返回服务器的新连接以获取JSON数据.从PHP脚本的角度来看,JSON请求来自外部世界的某个地方.

鉴于上述机制,您无法阻止任何人在HTML页面的上下文之外调用JSON API.

---

API的设计方式使得调用用户无法执行您不想做的事情.例如,糟糕的JSON API会接受SQL"where"子句并将其直接传递给数据库.即使它被清除并且不受注入攻击的影响,您也可能不希望您的用户能够查询任何范围的记录.更好的API可能会接受记录ID或关键字或其他内容,并返回最多10条记录.关键是,你不能相信来自外部世界的任何东西.

3> stefs..：

---

在我看来,你不能限制访问权限,只能让它变得更难.这有点像默默无闻的访问限制.推荐人可以很容易伪造,即使使用短期密钥,脚本也可以通过不断刷新密钥来获得响应.

那么,什么可以做什么？

找出这里的弱点:

http://www.example.com/json/getUserInfo.php?id=443

攻击者现在可以轻松地在循环中请求1到1.000.000之间的所有用户信息.ID 的弱点auto_increment是它们的线性,并且它们很容易猜到.

解决方案:为数据使用非数字唯一标识符.

http://www.example.com/json/getUserInfo.php?userid=XijjP4ow

你不能循环那些.没错,您仍然可以解析HTML页面中各种键的键,但这种类型的攻击是不同的(更容易避免)问题.

缺点:当然,您不能使用此方法来限制非依赖关键字的查询,例如搜索.