利用請求頭 Referer 實現訪問控制和權限管理

Cloud computing and code 2024年11月26日 15:27 215 Pinwu

本文摘要

本文探討了利用請求頭Referer實現訪問控制和權限管理的方法，包括基於源域名和路徑的Referer檢查，並提供了Java Servlet和Python Flask的代碼示例。文章強調了Referer作為輔助安全手段的價值，同時指出需結合其他安全措施以提高系統整體安全性。

一、引言

在當今復雜的網絡環境中，確保應用程序的安全性至關重要。訪問控制和權限管理是保障系統安全的關鍵環節，而請求頭 Referer 可以作為一種有效的輔助手段來實現這一目標。通過分析請求的來源，我們能夠對請求進行篩選和限制，從而增強系統的安全性和數據的保密性。本文將深入探討如何利用請求頭 Referer 來實現訪問控制和權限管理，並提供相關的代碼示例及解釋。

利用請求頭 Referer 實現訪問控制和權限管理第1张

二、請求頭 Referer 在訪問控制中的基本原理

請求頭 Referer 記錄了當前請求的來源頁面 URL。在訪問控制中，我們可以設定允許訪問的源頁面列表或規則，當接收到請求時，檢查請求頭 Referer 是否符合這些設定的條件。如果符合，則允許請求繼續進行；如果不符合，則拒絕訪問或采取其他相應的安全措施。

三、基於 Referer 的訪問控制實例及代碼解釋

（一）簡單的源域名白名單控制（Java Servlet 示例）

假設我們有一個 Web 應用程序，只允許來自特定域名（如 `qunapu.com` 和 `wap.qunapu.com`）的請求訪問某些敏感資源。以下是一個使用 Java Servlet 實現的示例代碼：

import javax.servlet.ServletException;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.net.URL;
import java.net.URLDecoder;
import java.util.ArrayList;
import java.util.List;
public class RefererBasedAccessControlServlet extends HttpServlet {
    // 允許的源域名列表
    private static final List<String> ALLOWED_DOMAINS = new ArrayList<>();
    static {
        ALLOWED_DOMAINS.add("qunapu.com");
        ALLOWED_DOMAINS.add("wap.qunapu.com");
    }
    @Override
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        String referer = request.getHeader("Referer");
        if (referer!= null) {
            try {
                URL refererUrl = new URL(URLDecoder.decode(referer, "UTF-8"));
                String refererHost = refererUrl.getHost();
                // 檢查 Referer 主機名是否在允許的域名列表中
                if (ALLOWED_DOMAINS.contains(refererHost)) {
                    // 允許訪問，繼續處理業務邏輯
                    // 這裏可以添加實際的業務處理代碼，例如返回敏感資源數據
                    response.getWriter().println("Access Granted. You can access the protected resource.");
                } else {
                    // 拒絕訪問，返回錯誤信息
                    response.sendError(HttpServletResponse.SC_FORBIDDEN, "Access Denied. Invalid Referer.");
                }
            } catch (Exception e) {
                // 如果解析 Referer 出現錯誤，也拒絕訪問
                response.sendError(HttpServletResponse.SC_BAD_REQUEST, "Invalid Referer format.");
            }
        } else {
            // 如果沒有 Referer 頭，拒絕訪問
            response.sendError(HttpServletResponse.SC_BAD_REQUEST, "Missing Referer.");
        }
    }
}

在上述代碼中：

- 首先定義了一個靜態的 `ALLOWED_DOMAINS` 列表，用於存儲允許的源域名。

- 在 `doGet` 方法中，獲取請求頭 `Referer` 的值。如果不為空，則將其解碼並解析為 `URL` 對象，獲取其主機名 `refererHost`。

- 接著檢查 `refererHost` 是否在 `ALLOWED_DOMAINS` 列表中。如果在列表中，說明請求來自允許的源域名，允許訪問並可以繼續進行業務邏輯處理（這裏簡單地返回了允許訪問的信息）；如果不在列表中或者解析過程出現錯誤，就拒絕訪問並返回相應的錯誤信息給客戶端。

（二）基於路徑的 Referer 訪問控制（Python Flask 示例）

考慮一個更復雜的場景，我們不僅要檢查源域名，還要根據 Referer 的路徑來確定訪問權限。例如，只允許來自 `qunapu.com` 域名下的 `/admin` 路徑的請求訪問特定的管理接口。以下是使用 Python Flask 框架實現的示例代碼：

from flask import Flask, request, abort
app = Flask(__name__)
@app.route('/protected_resource', methods=['GET'])
def protected_resource():
    referer = request.headers.get('Referer')
    if referer:
        from urllib.parse import urlparse
        parsed_referer = urlparse(referer)
        referer_domain = parsed_referer.netloc
        referer_path = parsed_referer.path
        # 檢查源域名和路徑是否符合要求
        if referer_domain == "qunapu.com" and referer_path.startswith("/admin"):
            # 允許訪問，返回相關數據
            return "Access Granted. You can access the protected resource."
        else:
            # 拒絕訪問
            abort(403)
    else:
        # 沒有 Referer 頭，拒絕訪問
        abort(400)

在這個代碼中：

- 使用 `Flask` 框架創建了一個簡單的 Web 應用，並定義了一個 `/protected_resource` 路由。

- 在路由處理函數中，獲取請求頭 `Referer`。通過 `urllib.parse.urlparse` 函數解析 `Referer`，得到源域名 `referer_domain` 和路徑 `referer_path`。

- 然後檢查 `referer_domain` 是否為 `qunapu.com` 且 `referer_path` 是否以 `/admin` 開頭。如果滿足條件，允許訪問並返回相應信息；否則，使用 `abort` 函數返回 403 錯誤（禁止訪問），如果沒有 `Referer` 頭則返回 400 錯誤（錯誤請求）。

四、結合其他安全機制使用 Referer

雖然請求頭 Referer 可以在一定程度上輔助訪問控制和權限管理，但它並不是一種絕對可靠的安全機制。攻擊者可能會偽造 Referer 頭信息來繞過訪問限制。因此，在實際應用中，應該將其與其他安全機制（如用戶認證、令牌驗證、加密等）結合使用，以提高系統的整體安全性。

例如，可以先要求用戶進行登錄認證，獲取合法的令牌。在後續的請求中，除了檢查 Referer 頭，還驗證令牌的有效性。只有當 Referer 符合要求且令牌有效時，才允許訪問敏感資源。

五、總結

請求頭 Referer 為訪問控制和權限管理提供了一種有價值的手段，通過合理設置基於 Referer 的規則和檢查邏輯，能夠有效地限制請求的來源，保護系統資源免受非法訪問。然而，我們必須清楚地認識到它的局限性，並結合其他安全措施構建多層次的安全防護體系。在開發應用程序時，應根據具體的業務需求和安全要求，靈活運用 Referer 以及其他安全技術，確保系統的安全性和可靠性，為用戶提供安全的網絡環境和優質的服務體驗。