参照元ページに基づいてページへのアクセスを制限する

Question

訪問者が特定のワードプレスのページから来た場合にのみ、ページへのアクセスを制限する必要があります。

私はここから午前中に読んでいますが、私が見ているほとんどの回答は、偽装することができるため「ちょうど」参照者の使用を妨げています。

私はPHPのセキュリティと脆弱性についてよく分かりません。私の唯一の目的は、ページをブックマークしてそのページに直接アクセスするユーザーを「落胆させる」ことです。私は私たちのWordPressのウェブサイト上の訪問者を検証し、それらが認証されたときにだけページを指す必要があります。

現在のところ私がこれまでに出てきたのはこれです。

<?php 

$ref = $_SERVER['HTTP_REFERER']; 

$theOrigins = array(
'http://mysite.tld/?page_id=x1', 
'http://mysite.tld/?page_id=x2'); 

$validRef = false; 

if (in_array($ref, $theOrigins)) { 
$validRef = true; 
} 


if (isset($_GET['passkey']) && ($_GET['passkey'] == 'thePasskey') && $validRef) { 
?> 

<show html page> 

<?php 
} else { 
//echo 'You are not supposed to access this page directly'; 
header('HTTP/1.0 403 Forbidden'); 
exit('Forbidden'); 
} 
?> 

これは主に、私は、このページに

http://thisinterestsme.com/restricting-access-referrer/

をソリューションを追加することを計画。しかし、この記事によるとしています。この記事で答え

What is the best way to password protect folder/page using php without a db or username

に基づいています、

Passing PHP Session Value

WPがセッションに

を使用していない現在のWPのバージョンに適用されなくなっWPセッションを使用する方法については、この命令ですか？

https://silvermapleweb.com/using-the-php-session-in-wordpress/

私のオプションは何ですか？

おかげ

Answer 1

Moin、

あなたは何をやろうとしていることは安全でない（HTTPヘッダーHTTP_REFERERを操作する可能性が）であることがわかっている場合、あなたは許可されたURLについてはあまり具体的であることを試みることができます。たぶん正しいホストを確認してください：

if(strpos($ref, 'mysite.tld') !== false && $_GET['passkey'] == 'thePasskey') 
{ ... }