ユーザーに直接アクセスされないようにしたい。2

Question

前回の質問に少し関連するのですが

例えば

<!--form.html-->
<form action="res.php" method="POST">
  <input type="text" name="mss">
  <input type="submit">
</form>

//res.php
<?php
  echo filter_input(INPUT_POST, 'mss');
?>

このような簡単なプログラムがあったとします。
res.phpは、form.htmlから遷移された時に正しい動作をしますので、res.phpへは直接URLを叩くなどしてアクセスされることは望みません。
このような時res.phpに直接アクセスされないようにするにはどうしたらよいでしょうか。

Answer 1

「URLを叩かれた」場合だけ排除したいのであれば、リクエストがPOSTであるかどうかのチェックだけでOKです（GETならステータスコードで403でも返しておけばいいでしょう）。

不正なPOSTですが、特に「ログインクッキーを持ったままの状態で、攻撃者のサイトから意図しないPOSTを投げさせる」という攻撃手法があって、「CSRF」と呼ばれています。

不正なPOST対策としては、CSRF対策と同様になりますが、

1. セッション内にユーザーごとの秘密の値（トークン）を持たせる
2. フォーム表示時にそのトークンを埋め込んで、一緒にPOSTさせる
3. POSTされた側でトークンが正しくなければ処理を打ち切る

というような流れになります。フレームワークを使っているなら、そちらでこのような対策を実施する手段がたいてい組み込まれています。

Answer 2

簡単な実装ですと、リファラーをマッチさせて、該当のHTML以外からのアクセスを弾く方法があると思います。

$referer = $_SERVER["HTTP_REFERER"];
$url = 'アクセスを許可したいURL';
if(!strstr($referer,$url)){
 die("正規の画面からアクセスしてください");
 exit;
}

もう少し高度に検証する場合は、JavaScriptを利用するなどして、HTML側に認証キーを埋め込んで、POSTで渡す方法などもあると思います。

Comments

[og24715]

回答ありがとうございます。
試してみましたが、form.htmlにいる状態でres.phpをURLを直打ちした場合ifを素通りしてしまうため、こちらの期待する動作をしませんでした。

[nyamane]

実際に書いたコードを掲載していただけませんか？
URL直打ちした場合は、リファラー変数は空なので、素通りしちゃうのは条件分岐がよろしくないとかだと思うのですが。。。

以下、サンプルコード
-------------
<?php
$referer = $_SERVER["HTTP_REFERER"];
$url = 'http://test.com/test.html';
if(!strstr($referer,$url)){
die("正規の画面からアクセスしてください");
exit;
} else {
print("リファラーOK");
}
?>
リファラーが一致すれば、続きを処理。
-------------