利用HTTP_REFERER接口校验请求来源

简而言之，HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器籍此可以获得一些信息用于处理。比如从我主页上链接到一个朋友那里，他的服务器就能够从HTTP Referer中统计出每天有多少用户点击我主页上的链接访问他的网站。
Referer的正确英语拼法是referrer(n. 推荐人，上线；介绍人)。由于早期HTTP规范的拼写错误，为了保持向后兼容就将错就错了。其它网络技术的规范企图修正此问题，使用正确拼法，所以目前拼法不统一。

PHP的$_SERVER['HTTP_REFERER'],记录了http的请来源地址。换一句话说就是可以得到链接/提交当前页的父页面URL。

若不是从父页面提交过来的;比如是浏览器直接访问url地址则isset($_SERVER['HTTP_REFERER'])为假。
若是ajax请求,$_SERVER['HTTP_REFERER']为发出ajax请求的页面url地址
利用这一特性我们就可以在写PHP接口的时候;为了安全性(防止其它网站来请求我们的接口),来做"请求来源地址"的校验。

实例代码如下:

注:修改hosts文件,让www.a.com/api.php能够进行访问

[api.php]
```php
<?php
     ini_set( 'display_errors', 'Off' ); 
    header( 'Content-Type: application/json' );

//定义是否检测请求来源的开关常量
    define( 'ENABLE_CHECKREFER' , true);

//定义refer白名单(充许通过的来源地址)
    $refWhiteList=array(
        '^http:\/\/www.a.com\/' ,

'^http:\/\/127.0.0.1\/',

// '^http:\/\/localhost\/a\/' ,
    );

/**
     * 网站请求,校验来源地址
     *
     * @author wen gong<bestphper@126.com>
     * @param string $refWhiteList 域名白名单
     * @return bool
     */
    function checkrefer( $refWhiteList ){
        //判断refer校验开关,是否开启
        if( !defined( 'ENABLE_CHECKREFER' ) || ENABLE_CHECKREFER == false ){
            return true;
        }else{
            if(isset($_SERVER['HTTP_REFERER'])){
                $ref = $_SERVER['HTTP_REFERER'];
                if( strpos( $ref, 'http://' ) !== 0 && strpos( $ref , 'https://' ) !== 0 ){
                    $ref = 'http://' . $ref;
                }
                foreach ( $refWhiteList as $item ){
                    if( preg_match( "/{$item}/i" , $ref ) ){
                        return true;
                    }
                }
                return false;
            }else{
                return false;
            }
        }
    }

//使用实例
    if( checkrefer( $refWhiteList ) ){
        //请求来源合法
        $re['msg']='success';
        echo $_GET['callback'].'('.json_encode( $re ).')';
    }else{
        //请求来源非法
        $re['msg']='error';
        echo $_GET['callback'].'('.json_encode( $re ).')';
    }
```

[test.html]
```html
<html>
<head>
    <title>refer校验</title>
    <meta http-equiv="content-type" content="text/html; charset=utf-8" />
    <script src="http://libs.useso.com/js/jquery/1.4.4/jquery.min.js" type="text/javascript"></script>
</head>
<body>
    <script type="text/javascript">
         $.ajax({
            type: "get",
            url: "http://www.a.com/api.php",
            dataType: "jsonp",
            jsonp: "callback",
            jsonpCallback:'getdata',
            success: function(data){
             $('body').html(data.msg);
            },
            error: function(){
             $('body').html('请求失败');
            }
        });
    </script>
</body>
```
[代码下载](http://image.gwalker.cn/Uploads_ArticleFiles_20141008_5434db13a0142.rar "代码下载")

由于代码段
```php
$refWhiteList=array(
        '^http:\/\/www.a.com\/' ,

'^http:\/\/127.0.0.1\/',

// '^http:\/\/localhost\/a\/' ,
    );
```
设定了www.a.com与127.0.0.1为可信来源地址。所以访问 http://www.a.com/test.html  或 http://127.0.0.1/a/test.html 来进行ajax,jsop请求页面都会输出success。

而http://localhost/a/test.html不在可信来源白名单列表里访问页面会输出error