如何将Web客户端限制到某个域？

Question

我有一个问题，人们正在将我的网站克隆出来，并模仿自己从自己的域中拨打我的API来滥用我的服务。我提出的解决方案是Angular Client检查其工作的URL，对其进行加密并添加为API调用的标题。混淆JS代码以防止反向工程。这样，API将收到一个加密的标头，并确保该域是适当的标头。

因此，在客户端

headers.append(`CustomHeader`, this.encryptDomain());

和服务器端，

var domainEncrypted = Request.Content?.Headers?.GetValues("CustomHeader").FirstOrDefault();
var domainPlain = Decrypt(domainEncrypted);
if (domainPlain != myDomain)
{
  return BadRequest();
}

您可以帮助我使用代码示例与JS和C＃加密和解密算法匹配的代码？因此， EncryptDomain 在JS侧工作， decrypt 在C＃侧工作。我知道这不是一个完美的解决方案，但我想尝试。如果有人有更好的主意，欢迎您。

编辑：显然我想做的类似于JScrambler域锁定功能

Answer 1

TLDR

不可能通过不同的（克隆）客户端与您的API进行通信，以确保在IP地址的白名单不能/不应使用的情况下。

为什么

这样考虑。您的服务器具有某些标识规则 - 客户端应具有将其标记为信任的一些标识符。在您的问题中，这是一个领域。

域是可以在HTTP标头或您的请求正文中传递的公共信息，这很容易，但客户很容易在他们身边替换此信息。

而且，如果您使用任何类型的密码学来提供更安全的识别机制 - 您只是很难入侵它并再次假装作为可信的客户，因为您在客户端使用的每种机制都可以由黑客进行反向工程。只需查看这个问题。

人们认为您可以使用来保证访问限制是在服务器端使用IP地址的白色名单，因为IP地址是TCP/IP传输级别协议的一部分，并且它具有“握手”过程，可以识别彼此的通信点，很难替换它。 Check this question for details.

那你能做什么？

CORS

设置CORS策略是创建可信赖的客户服务器通信的第一步。大多数浏览器是支持CORS政策，但当然客户可能不是浏览器。问题与浏览器服务器的通信无关，但我应该提到，因为浏览器也是客户端。

客户端加密

您可以使用加密，但是我没有任何理由这样做，因为可以通过您的法律客户端（网站）读取对服务器的任何请求。因此，即使您对其进行了加密 - 任何人都有一个钥匙和加密算法，可以假装成为可信赖的客户。但是，如果您想...

您需要创建独特的密钥，每个请求都会使假装的生活更加艰难。为了使其需要很少的成分：

• 客户端上的密钥生成（加密）的公共密钥，
• 解密生成密钥的密钥代码
• 私钥

可以轻松地搜索过服务器端的JS端RSA Crypto库的 “ https://stackoverflow.com/questions/12457234/cencrypt-in-javascript-decrypt-decrypt-in-php-using-public-key-cryptography">示例）

obfusccation库也可以找到Google也可以找到（例如 this ）

服务器 - ）可以用 system.security.cryptography 命名空间（如果使用C＃后端）。

基本上，您制作的更复杂的密钥生成算法和您制作的更加迷惑的代码 - 更难将自己假装自己是一个值得信赖的客户。但是，正如我所说，没有保证的方法可以完全识别受信任的客户。

Answer 2

您不能阻止人们复制您网站的FE资产...他们应该公开使用。您可以尝试通过将构建的应用程序插入更多块（具有Angular的Lazzy-Loading或通过操纵WebPack的配置）来使其变得更加困难。尽管如此，浏览器仍需要纯文本代码，因此，尽管这使其难以阻止复制。

当我们为生产构建角度时，它已经通过其

为了减轻人们滥用您的服务器资源的问题，您需要在后端请求授权和一些Miss-usage检测方面实施强大的实践。

配置 cors>成为代理。

确保您的请求的身份验证是可靠的。市场标准方法是使用a jwt 有效载荷嵌入在授权>授权每个标题中要求。它是简单，可靠且资源性的。

我还建议实施请求节点。但这是一个分开的问题。

如果您的身份验证已经稳定，则需要检测何时您的真实用户滥用系统。有许多工具可以监视流量（例如 a>），但没有针对“异常流量”的伞定义。检测“异常流量”是您为系统细节构建的构建所需的。一旦您拥有一个网络流量工具，就可以帮助您开始。

Answer 3

为您提供几个解决方案。首先，您可以通过在服务器上应用 cors 策略来阻止。如果您仍然想从代码中执行此操作，则可以在此基础上以C＃中的主机名为基础。

var hostname = requestContext.HttpContext.Request.Url.Host;
if (hostname != myDomain)
{
  return BadRequest();
}