秘密查询字符串是限制访问和隐藏非安全站点内容的合理方法吗？

Question

所以我要提前说，显然我知道这实际上并不安全，请不要为此责备我。我只是从懒惰的角度对这个问题感兴趣。

我有一个网站，其中包含一些我想向公众“隐藏”的信息。没有什么重要或脆弱的事情；我只是不想让人们找到它并弄乱它。我已经有了一个 robots.txt 文件，禁止所有抓取。该页面上没有链接（或者不会有其他网站到此页面的链接）。

设置

example.com 会将您带到“您无权访问”页面，而 example.com?real=fun 实际上会为您获取内容。除非查询键/值对正确，否则 PHP 不会实际运行该页面。那么，我是否可以合理地假设没有人会偶然找到此页面，并且即使他们偶然找到此页面，他们也将无法进入其中的内容？

是的，我很懒，但我还是想知道。

• 编辑 • 我不是在寻找“如何做到这一点”。我已经做到了。正确的答案将解决人们是否还有其他基本方法可以进入使用此技术的页面。

Answer 1

是的，可以合理地假设他们无法访问内容，因为 Apache 会看到一个 index.php 请求并简单地处理资源。他们不可能简单地猜测您在后端服务器中硬编码的内容，除非它就像某些共享网络托管并且服务器上的其他用户可以看到您目录的内容。

将其添加到 www.example.com 根目录的 index.php 文件顶部

if (empty($_GET))
    exit("nothing to see here"); 
elseif ($_GET['real'] != 'fun')
    exit("nothing to see here"); 

Answer 2

您依靠默默无闻的安全性。它在一定程度上有效，但你不应该指望它。您的问题的答案是“是”，这是合理的，但不要在生产中依赖它。

最好的方法是使用 Basic Http Auth 仅允许具有登录凭据的用户访问页面。

一种稍微懒惰的方法是显示一个没有信息的表单，他们必须输入一些随机字符串并提交它。如果字符串正确，它将在服务器上设置一个会话，允许他们访问该页面。

Answer 3

这肯定是比设置密码更好的“隐藏”某些内容的方法。受密码保护的站点显然意味着有东西隐藏在栅栏后面，而秘密查询字符串基本上不会泄露任何内容。

另一方面，如果秘密字符串泄露，那么您的安全系统就会遭到破坏。如果提供了秘密查询，我建议加倍并触发常规登录页面。然后您就可以继续工作，而不必在 URL 中保留查询字符串（并且如果您链接到任何外部内容，则不会显示在其他站点的引用日志中）。

通过这种方式，您可以获得所需登录的安全性，甚至不会出现明显的“这里有安全内容”的额外安全性。

Answer 4

如果您并不严重担心安全性，而只是想让人们远离某些页面，那么您有几种选择。再次澄清一下，我不会仅仅依靠这些想法来实现银行式安全......

1. 身份验证的基本前提
   系统是设置cookie或者session
   您可以检查 id 是否
   用户已在您的每个页面上登录
   想要保护。没那么难！只是不要将会话的值设置为您不希望被劫持的值。
2. Apache 可以让您保护
   文件或文件夹，这是一个快速
   以及将人们拒之门外的肮脏方式
   的某事。
3. 有一些非常好的开放
   源认证系统可以是
   相对容易地插入。
4. 像这样的简单的tuts人们可以
   给你一个完整的身份验证系统，
   基本完成并准备出发。

Answer 5

“合理”是根据上下文来定义的。新奇的页面背后没有什么真正敏感的东西？当然。请记住，如果您曾经向任何人发送过“隐藏”链接，他们可以轻松地将其发布到某个 IRC 聊天室中，或者当您不在时，某人可以查看您的浏览器历史记录。键盘。请记住，任何了解 example.com/index.php?real=fun 的人都可以到达那里。一旦他们知道了，“没人可能知道”就帮不了你了。

现在，如果您确实对安全性感兴趣，您可以在数据库中的某个位置设置一个临时 ID 值，其中包含随机生成的 6 或 8 字符哈希值和到期日期（例如一天）。向朋友发送电子邮件 example.com/index.php?real=8AC02F，他将可以在一天左右的时间内访问该内容。编写一个密码脚本来生成哈希值和到期日期并将其存储在数据库中。

不要忘记删除过期哈希值的 cron 脚本，你不想把事情弄得一团糟。

Answer 6

您问这个解决方案是否“合理”。由于您显然不是指“安全”，因此不清楚您的意思。我猜你的意思是“可能且易于实施”，在这种情况下，答案是是。但请随意编辑您的问题以使其更加清晰。