当前位置：首页 > 云服务器 > 正文

PHP如何实现只允许特定域名访问网站？域名访问限制技巧

admin
云服务器
2026-02-09
3884

在PHP中限制特定域名访问网站,可以通过检查HTTP请求头中的HTTP_REFERER或HTTP_ORIGIN字段实现，以下是两种常用方法：

方法1：验证 Referer（适用于页面跳转）

// 允许访问的域名列表 $allowedDomains = [ 'example.com', 'subdomain.example.com' ]; // 获取Referer并提取域名 $referer = $_SERVER['HTTP_REFERER'] ?? ''; $domain = parse_url($referer, PHP_URL_HOST); // 验证 if (empty($referer) || !in_array($domain, $allowedDomains)) { http_response_code(403); // 禁止访问 exit('Access Denied: Domain not allowed.'); } // 正常执行业务代码...

方法2：验证 Origin（适用于AJAX/API请求）

// 允许访问的域名列表 $allowedOrigins = [ 'https://example.com', 'https://subdomain.example.com' ]; // 获取Origin头 $origin = $_SERVER['HTTP_ORIGIN'] ?? ''; // 验证 if (!in_array($origin, $allowedOrigins)) { http_response_code(403); exit('Access Denied: Invalid origin.'); } // 可选：设置CORS响应头（用于AJAX） header("Access-Control-Allow-Origin: $origin"); header("Access-Control-Allow-Credentials: true");

重要注意事项：

安全性：
- Referer和Origin可被杜撰，不能依赖其做敏感操作的安全验证。
- 关键操作（如支付、账户修改）应使用服务端会话（Session）或Token验证。
适用场景：
- Referer：普通页面跳转、资源防盗链（图片/文件）。
- Origin：AJAX请求、API接口跨域控制。
- 直接访问处理：
  - 直接输入URL访问时Referer为空，需根据需求决定是否允许（示例代码中禁止了空Referer）。
  - 通配符支持：
    - 如需泛域名匹配（如*.example.com），可用正则： $pattern = '/.example.com$/'; if (!preg_match($pattern, $domain)) { ... }
    - 性能优化：
      
      将域名列表缓存或存储在配置文件中,避免每次请求重复定义。