Блог

Мне нужно было бы создать php-файл, который будет выполнять некоторую работу на моем веб-сервере и который будет вызываться из программы на другом сервере через Интернет. Предположим, php-файл, который будет выполнять работу, расположен по адресу www.example.com/work.php

Какой наилучший способ защитить незапрошенные вызовы к www.example.com/work.php ?

Что мне нужно, так это некоторый механизм, чтобы, когда предполагаемая программа обращается к URL (с некоторыми параметрами строки запроса), работа была выполнена, но если кто-нибудь введет www.example.com/work.php в их браузере доступ будет запрещен, и никакая работа выполняться не будет.

Я подумал о том, чтобы добавить некоторый «токен» в строку запроса, который был бы создан с помощью некоторого алгоритма из вызывающей программы, примером результата может быть добавление к URL :

 ?key=randomKeyAtEachCallamp;token=SomeHexadecimalResultCalculatedFromTheKey
  

и ключ и токен будут проверены с помощью обратного алгоритма на стороне php.

Безопасно ли это, есть ли идея получше?

Вы можете попробовать несколько вариантов!

Сначала попробуйте разрешить доступ только с сервера, который будет выполнять вызов вашего work.php с помощью .htaccess подобным образом:

 <FilesMatch "work.php$">
    Order deny,allow
    Deny from all
    Allow from 111.111.111.111
</FilesMatch>
  

где 111.111.111.111 — это IP сервера, который будет вызывать скрипт.

Еще одна вещь, которую вы можете сделать, это создать что-то вроде пароля и отправить его на work.php для того, чтобы разрешить доступ только пользователям с паролем.

В примере.

Сервер, который вызывает скрипт:

 $hash = md5('my_secret_key'   date('dFYaG'));

// You can also use any other method you like to call the other script
// such us cURL, sockets and so on.
$f = fopen('http://www.myothersite.com/work.php?skr=' . $hash, 'r');
fclose($f);
  

и сервер, на котором размещен work.php

 $hash = md5('my_secret_key'   date('dFYaG'));

if($hash != $_GET['skr'])
{
    die('You do not have permission to access that file...');
}

// Rest of your code goes here
  

В зависимости от способа доступа к нему, вы можете просто создать таблицу с зарегистрированными ключами API, использовать POST для встраивания данных в http-запрос и проверить, установлена ли переменная POST и соответствует ли она зарегистрированному ключу API.

В качестве альтернативы, у вас может быть пароль API, который перед сравнением преобразуется в ключ на стороне сервера для большей безопасности (если у кого-то есть прямой ключ API из базы данных и отправляет его в work.php после запуска, скажем, через хэш md5, он не будет оцениваться должным образом).

Вы могли бы немного упростить свою идею, просто придумав действительно длинный хэш и жестко закодировав его с обеих сторон. Рассматривайте это как ключ API для вашего сервиса (аналогичный тому, что вы могли бы получить от такого сервиса, как reCAPTCHA или Twilio, или что-то в этом роде).

Как насчет генерации пары ключей RSA? Затем зашифруйте секретную строку открытым ключом (с помощью вашего приложения) и сохраните закрытый ключ в безопасности в вашем PHP-скрипте. Если строка, переданная в PHP, может быть расшифрована с помощью закрытого ключа (и строка проверена), то это ваше приложение (если, конечно, ваше приложение не было взломано и открытый ключ не был извлечен).