安全的 php 主机名信息 - $_SERVER['HTTP_HOST'] 替代方案

Question

我有一个面向公众的调试脚本，我只想在某些开发盒上运行，我希望通过检测服务器 IP 或名称，在该脚本内以编程方式执行此操作 -

所以我对 $_SERVER 的安全性有疑问，并且特别是 $_SERVER['HTTP_HOST'] 。

从此： http://shiflett.org/blog/2006/ mar/server-name-versus-http-host 博客文章 我发现这个变量非常不安全，并且不可信。

从 php 中找出您当前所在的框的最佳方法是什么？

我想到使用 FILE ，因为这似乎非常安全，但我不确定我是否从文件路径中获得了足够的信息。

我不一定需要服务器名称，甚至 ip 也可以。

提前致谢。

Answer 1

最好的方法是什么？这取决于您对环境的控制程度。以下是一些选项：

1. 通过网络服务器设置环境变量来指示该框。

   if (getenv('env_server') == '生产')
   

   这很好，因为您无需担心任何文件。只需网络服务器配置。

2. 在服务器上的“已知”位置设置一个文件，并检查该文件（整个服务器的一个文件）。

   require('/path/to/environment.php');
   

   该文件应该定义一个常量来确定环境。

3. 手动配置服务器的每个应用程序。这是最容易做到的，因为它不需要服务器端的任何东西，但它也是最不方便的，因为您需要手动配置每个安装...

4. 用于访问站点的外部 IP 地址：< /p>

   $_SERVER['SERVER_ADDR']

   这很好，因为它不需要在服务器端进行额外的配置。但它会要求您保留所有活动 IP 地址及其绑定服务器的映射（特别是因为超过 1 个 IP 可以指向同一服务器）...

Answer 2

最好的方法是通过在机器上放置环境配置文件并检查它来显式定义机器：

if (file_exists('environment.php')) {
    include 'environment.php';
}

该文件可以仅包含您所在机器的名称，或诸如 $debug = 0 或您想要为特定机器定制的任何其他内容。

Answer 3

从 php 中找出您当前所在的框的最佳方法是什么？

$_SERVER["SERVER_NAME"] 通常没问题。克里斯概述的安全问题需要非常非常具体的环境才能发挥作用。

$_SERVER["SERVER_ADDR"] 也是一种替代方案。

除此之外，如果有机会从路径中获得提示，我倾向于使用 __FILE__ 。

Answer 4

您可以使用 exec() 来运行 shell 命令。

echo exec('hostname');

这可以获取 OS X 上的 IP 地址，可能是特定于平台的。

echo exec('ifconfig | grep "inet " | grep -v 127.0.0.1 | cut -d\  -f2');