php - 只接受来自定义的引荐来源网址的访问？

Question

我的网站上有一个 Paypal 按钮，并且我有一个页面，一旦用户完成付款，Paypal 就会将其引导至该页面。如何确保访问此页面的唯一人员是由 paypal.com 推荐的？

Answer 1

您可以使用$_SERVER["HTTP_REFERER"]来获取推荐人并对照 paypal.com 进行检查

$referer = $_SERVER['HTTP_REFERER'];
$referer_parts = parse_url($referer);
if($referer_parts['host'] == "paypal.com") {
    echo "good";
} else {
    echo "bad";
}

笔记：

'HTTP_REFERER'

将用户代理引向当前页面的页面地址（如果有）。这是由用户代理设置的。不是所有的用户代理都会设置这个，有些提供修改 HTTP_REFERER 作为一个特性的能力。简而言之，它不能真正被信任。

我认为没有任何可靠的方法可以检查用户来自何处。我可以简单地转到一个贝宝页面，然后简单地运行location.href='http://yoursite.com/yourpage.php'或插入一个链接到我可以单击的 DOM 中，而您将无法知道。

我认为唯一的方法是，如果贝宝使用您可以最终验证的唯一代码将客户发送到您的网站。这样，只有拥有代码的人才能访问您的页面。