PHP中的$_SERVER[\"HTTP_REFERER\"]用法浅谈-CSDN博客

本文链接：https://blog.csdn.net/forest_fire/article/details/50944261

本文介绍了如何通过检查HTTP_REFERER环境变量实现基本的防盗链功能，并提供了一个防止跨站伪造表单提交的方案，确保表单提交的安全性和合法性。包括随机生成散列值作为唯一标识符，用于验证请求来源的有效性。

摘要生成于 C知道，由 DeepSeek-R1 满血版支持，前往体验 >

2010-08-14 15:36:29| 分类： PHP文章 | 标签：it动态 |举报 |字号大中小订阅

大家知道$_SERVER["HTTP_REFERER"]可以获取当前链接的上一个连接的来源地址，即链接到当前页面的前一页面的 URL 地址，可以做到防盗链作用，只有点击超链接（即<A href=...> post表单提交）打开的页面才有HTTP_REFERER环境变量，其它如 window.open()、 window.location=...、window.showModelessDialog()等打开的窗口都没有HTTP_REFERER 环境变量。
写个函数吧简单的可以、起到防盗链作用
<?
function   checkurl(){
//如果直接从浏览器连接到页面，就连接到登陆窗口
//echo   "referer:". $_SERVER["HTTP_REFERER"]
if(!isset( $_SERVER["HTTP_REFERER"])   {
header("location:   login");
exit;
}
$urlar   =   parse_url( $_SERVER["HTTP_REFERER"]);
//如果页面的域名不是服务器域名,就连接到登陆窗口
if($_SERVER['HTTP_HOST']   !=   $urlar["host"]   &&   $urlar["host"]   !=   "202.102.110.204"   &&   $urlar["host"]   !=   " http://blog.163.com/fantasy_lxh/")   {
header("location:   login.php");
exit;
}
}
checkurl()
?>

倒找到一些防跨站的。

来源： http://www.myhack58.com/Article/html/3/7/2012/35108.htm

在以前的防止跨站攻击的时候，使用了验证提交的页面是否是同一个站点，这样可以防止普通的攻击，ereg("blog.qita.in",$_SERVER['HTTP_REFERER'])

不过也不是很安全的,因为攻击者可以伪造HTTP Referer，如 header("Referer: blog.qita.in"); 或者在恶意脚本中伪造HTTP头

由于HTTP Referer是由客户端浏览器发送的，而不是由服务器控制的，因此你不应当将该变量作为一个信任源。

当然登录的时候可以使用验证码来解决，不过其他很多表单提交还是不适宜。

下面给出一个防止伪造表单提交的方案，还解决了同一个站点不同页面的非法调用！

//--------------- 代码 -------------//

session_start();

#随机取6位的散列值

function gen_token() {

$hash = md5(uniqid(rand(), true));