मैं JSON पहुंच को कैसे प्रतिबंधित करूं?

Question

मेरे पास एक वेब एप्लिकेशन है जो मेरे नव निर्मित जेएसओएन एपीआई से डेटा खींचता है।

मेरे स्थिर HTML पृष्ठ गतिशील रूप से स्थिर HTML पृष्ठ से जावास्क्रिप्ट के माध्यम से JSON API को कॉल करते हैं।

मैं अपने JSON एपीआई तक पहुंच कैसे प्रतिबंधित करूं ताकि केवल मैं (मेरी वेबसाइट) इसे कॉल कर सकूं?

यदि यह मदद करता है, तो मेरा एपीआई कुछ ऐसा है: http://example.com/json/?var1=x&var2=y&var3=z ... जो क्वेरी के आधार पर उचित JSON उत्पन्न करता है।

मैं अपने JSON परिणामों को उत्पन्न करने के लिए PHP का उपयोग कर रहा हूं ... JSON एपीआई तक पहुंच प्रतिबंधित करना $_SERVER['HTTP_REFERER'] की जांच के रूप में सरल हो सकता है यह सुनिश्चित करने के लिए कि एपीआई केवल मेरे डोमेन से ही कहा जा रहा है और रिमोट उपयोगकर्ता नहीं है?

Answer 1

यदि कोई भी समाधान एपीआई का उपयोग करने वाले आपके स्थिर पृष्ठों को सार्वजनिक इंटरनेट पर होना आवश्यक है तो यहां कोई भी समाधान अपूर्ण होगा। चूंकि आपको क्लाइंट का ब्राउज़र अनुरोध भेजने में सक्षम होना चाहिए और इसे सम्मानित किया जाना चाहिए, इसलिए यह संभव है कि आप किसी भी व्यक्ति को यह देखने के लिए कि आप उस यूआरएल को कैसे बना रहे हैं।

आप अपने एपीआई के पीछे ऐप को http रेफरर की जांच कर सकते हैं, लेकिन अगर कोई चाहता है तो नकली करना आसान है।

यदि पृष्ठों को स्थैतिक होने की आवश्यकता नहीं है, तो आप एपीआई द्वारा उत्पन्न अल्पकालिक "कुंजी" रखने की कोशिश कर सकते हैं और पहले पृष्ठ की HTML प्रतिक्रिया में शामिल किया गया है जो एक साथ पैरामीटर वापस एपीआई के लिए। यह आपके एपीआई में ओवरहेड जोड़ देगा, हालांकि आपको उस अंत में सर्वर को "चाबियाँ" की एक सूची बनाए रखना होगा, जो वैध हैं, वे कब तक वैध हैं, आदि

तो, आप कुछ कदम उठा सकते हैं जो बहुत अधिक खर्च नहीं करेगा लेकिन अगर कोई वास्तव में चाहता है तो चारों ओर घूमना मुश्किल नहीं है, या आप इसे थोड़ा कठिन बनाने के लिए और अधिक समय व्यतीत कर सकते हैं, लेकिन अगर आपका एपीआई होना है तो ऐसा करने का कोई सही तरीका नहीं है सार्वजनिक रूप से सुलभ।

Answer 2

संक्षिप्त उत्तर यह है: कोई भी जो आपकी वेबसाइट के पृष्ठों तक पहुंच सकता है, वह भी आपके एपीआई तक पहुंच पाएगा।

आप अपने एपीआई को विभिन्न तरीकों से एन्क्रिप्ट करके अधिक कठिन बनाने का प्रयास कर सकते हैं, लेकिन चूंकि आपको अपने एपीआई के आउटपुट को डिक्रिप्ट करने के लिए जावास्क्रिप्ट कोड शामिल करना होगा, तो आप बस अपने आप को स्थापित करने जा रहे हैं किसी भी व्यक्ति के साथ एक हथियार दौड़ जो निर्णय लेती है कि वे अन्य तरीकों से आपके एपीआई का उपयोग करना चाहते हैं। यहां तक ​​कि यदि आप अल्पकालिक कुंजी का उपयोग करते हैं, तो एपीआई का उपयोग करने से पहले एक निर्धारित "हमलावर" हमेशा आपके एचटीएमएल (वर्तमान कुंजी के साथ) को स्क्रैप कर सकता है।

यदि आप अन्य वेबसाइटों को अपने वेब पृष्ठों पर अपने एपीआई का उपयोग करने से रोकना चाहते हैं तो आप रेफरर हेडर का उपयोग कर सकते हैं लेकिन ध्यान रखें कि सभी ब्राउज़र रेफरर नहीं भेजते हैं (और कुछ प्रॉक्सी उन्हें भी पट्टी करते हैं!)। इसका मतलब है कि आप रेफरर को याद करने वाले सभी अनुरोधों को अनुमति देना चाहते हैं, और यह आपको केवल आंशिक सुरक्षा प्रदान करेगा। इसके अलावा, रेफरर को आसानी से जाली जा सकती है, इसलिए यदि कोई अन्य वेबसाइट वास्तव में आपके एपीआई का उपयोग करना चाहता है तो वे हमेशा ब्राउज़र को खराब कर सकते हैं और अपने सर्वर से अपने एपीआई तक पहुंच सकते हैं।

Answer 3

आपके डोमेन तक पहुंच प्रतिबंधित करने की सामान्य विधि सामग्री को असीमित रूप से चलाने वाली चीज़ के साथ प्रीपेड कर रही है।

उदाहरण के लिए:

while(1);{"json": "here"} // google uses this method 
for (;;);{"json": "here"} // facebook uses this method 

तो जब आप XMLHttpRequest या किसी अन्य विधि है कि आपके डोमेन के लिए पूरी तरह से प्रतिबंधित है के माध्यम से इस लाने, तुम्हें पता है कि तुम अनंत लूप को पार्स आउट की जरूरत है। लेकिन अगर इसे स्क्रिप्ट नोड के माध्यम से लाया जाता है:

<script src="http://some.server/secret_api?..."></script> 

यह विफल हो जाएगा क्योंकि स्क्रिप्ट पहले कथन से कभी नहीं मिलेगी।

Answer 4

मुझे लगता है कि आप उस हिस्से को गलत समझ सकते हैं जहां JSON अनुरोध उपयोगकर्ता के ब्राउज़र से आपके अपने सर्वर से बजाए गए हैं। स्थिर HTML पृष्ठ उपयोगकर्ता के ब्राउज़र पर वितरित किया जाता है, फिर यह पृष्ठ पर जावास्क्रिप्ट कोड को बदल देता है और निष्पादित करता है। JSON डेटा प्राप्त करने के लिए यह कोड आपके सर्वर पर एक नया कनेक्शन खोलता है। आपकी PHP स्क्रिप्ट के दृष्टिकोण से, JSON अनुरोध बाहरी दुनिया में कहीं से आता है।

उपर्युक्त तंत्र को देखते हुए, आप अपने HTML पृष्ठ के संदर्भ में JSON API को कॉल करने से रोकने के लिए बहुत कुछ नहीं कर सकते हैं।

Answer 5

मेरी राय में, आप एक्सेस को प्रतिबंधित नहीं कर सकते हैं, केवल इसे कठिन बनाते हैं। यह अस्पष्टता से पहुंच-प्रतिबंध की तरह थोड़ा सा है। रेफरर को आसानी से जाली जा सकती है, और यहां तक ​​कि अल्पकालिक कुंजी के साथ भी एक स्क्रिप्ट लगातार कुंजी को रीफ्रेश करके प्रतिक्रिया प्राप्त कर सकती है।

तो, क्या हम कर सकते हैं?

यहाँ कमजोरी की पहचान:

http://www.example.com/json/getUserInfo.php?id=443

हमलावर अब आसानी से एक पाश में 1.000.000 1 से सभी उपयोगकर्ता जानकारी का अनुरोध कर सकते हैं। auto_increment आईडी का कमजोर बिंदु उनकी रैखिकता है और वे अनुमान लगाना आसान है।

समाधान: आपके डेटा के लिए गैर-संख्यात्मक अद्वितीय पहचानकर्ताओं का उपयोग करें।

http://www.example.com/json/getUserInfo.php?userid=XijjP4ow

आप उन से अधिक पाश नहीं कर सकते। सच है, आप अभी भी सभी प्रकार की चाबियों के लिए HTML पृष्ठों को पार्स कर सकते हैं, लेकिन इस प्रकार का हमला अलग है (और अधिक आसानी से टालने योग्य) समस्या है।

डाउनसाइड: बेशक आप इस विधि का उपयोग उन प्रश्नों को प्रतिबंधित करने के लिए नहीं कर सकते हैं जो मुख्य-निर्भर नहीं हैं, उदा। खोज।

Answer 6

क्षमा करें, शायद मैं गलत हूं लेकिन ... क्या इसे HTTPS का उपयोग करके किया जा सकता है?

आप कर सकते हैं http रों के माध्यम से अपने एपीआई सुलभ है (?): //example.com/json/ var1 = एक्स & var2 = y, इस प्रकार केवल प्रमाणीकृत उपभोक्ता अपने डेटा प्राप्त कर सकते हैं ...

Answer 7

क्या आप हैं, या आप कुकी आधारित प्रमाणीकरण का उपयोग कर सकते हैं? मेरा अनुभव एएसपी.नेट फॉर्म प्रमाणीकरण पर आधारित है, लेकिन एक ही दृष्टिकोण PHP के साथ थोड़ा कोड के साथ व्यवहार्य होना चाहिए।

मूल विचार यह है कि जब उपयोगकर्ता वेब ऐप के माध्यम से प्रमाणीकृत होता है, तो एक कुकी जिसमें एन्क्रिप्टेड मान क्लाइंट ब्राउज़र पर वापस आ जाता है। जेसन एपीआई तब कॉलर की पहचान को सत्यापित करने के लिए उस कुकी का उपयोग करेगा।

इस दृष्टिकोण को स्पष्ट रूप से कुकीज़ के उपयोग की आवश्यकता है, ताकि आपके लिए कोई समस्या हो या न हो।

Answer 8

क्षमा करें, :-)

वेब पर कोई DRM से आप एक विश्वसनीय ग्राहक के रूप में एचटीएमएल इलाज नहीं कर सकता है। यह एक सादा पाठ स्क्रिप्ट है जो अन्य लोगों के कंप्यूटरों पर व्याख्या के रूप में व्याख्या की जाती है। जो कुछ भी आप अपने "खुद" जावास्क्रिप्ट कोड की अनुमति देते हैं, क्या आप किसी को भी अनुमति देते हैं। जंगली में आप Greasemonkey और Firebug के साथ "आपका" कितना समय निर्धारित कर सकते हैं।

आपको सर्वर में सभी एक्सेस नियंत्रण और व्यावसायिक तर्क प्रतिबंधों को डुप्लिकेट करना होगा जैसे कि इसमें से कोई भी आपके जावास्क्रिप्ट क्लाइंट में मौजूद नहीं था।

अपने एसएसओ में सेवा शामिल करें, प्रत्येक उपयोगकर्ता के पास पहुंचने वाले यूआरएल को प्रतिबंधित करें, ग्राहक को दिमाग में रखकर सेवा को डिज़ाइन करें, न कि आपके अच्छे व्यवहार किए गए जावास्क्रिप्ट कोड।