0

Есть php скрипт, который выполняется у пользователя в iframe, Сприпт находится на одном домене, а iframe на другом. Мне нужно сделать проверку по домену пользователя, если такой-то домен существует, то скрипт выполняется.

Проблема в том, что не одним $_SERVER элементом нельзя получить удаленный домен клиента. Кроме конечно HTTP_REFERER. Все остальные показывают информацию по серверу, на котором запущен сам скрипт (даже REMOTE_HOST).

client.ru

<iframe style="border: 0px; " src="http://server.ru/lib.php" width="100%" height="100%"></iframe>

server.ru

$url = parse_url($_SERVER['HTTP_REFERER'], PHP_URL_HOST);
$urlcheck = тут массив с урлами разрешенных клиентов;

if ($url == $urlcheck) {
   echo = 'выполняем скрипт';
}

Сам по себе HTTP_REFERER мне очень не нравится, потому что его легко можно подменить, но как еще проверить домен клиента?

1

2 ответа 2

1

Для получения любых данных родительского окна в контексте Iframe (если домены не совпадают конечно же), должен быть добавлен код на стороне родительского окна. Саму передачу данных можно организовать через postMessage, crossdomain ajax и т.д. В вашем случае для получения домена можно использовать любую html ноду , которая генерирует HTTP запрос:

<!--parent page -->
<script>
   var src='www.yourdomain.com?domain=' + encodeURIComponent(top.document.domain);
   (new Image()).src = src;
</script>

3
  • Можете написать пример с нодой на основе моего подключения?
    – Max Vin
    25 сен 2015 в 13:12
  • Получается генерируется get c именем домена, который я уже проверяю. Но ведь человеку ничего не стоит подключить этот же айфрейм на другом неразрешенном домене и указать явно www.yourdomain.com?domain=domain1.ru выпилив из яваскрипта этот обработчик.
    – Max Vin
    27 сен 2015 в 11:54
  • Да, как и любой клиентский код, пользователь имеет доступ к нему и соответственно может отредактировать, переопределять переменные и т.д. Можно обфусцировать, можно даже шифровать . Только с серверной стороны у вас не получится это сделать
    – mkardakov
    27 сен 2015 в 12:09
1

Еще можно увидеть вот такое $_SERVER['HTTP_ORIGIN'], в котором будет как раз то что вам нужно. Но это ключ присутствует только в момент когда iframe открывает страницу.

Ваш ответ

By clicking “Отправить ответ”, you agree to our terms of service and acknowledge that you have read and understand our privacy policy and code of conduct.

Всё ещё ищете ответ? Посмотрите другие вопросы с метками или задайте свой вопрос.