3

Olá, eu tenho uma página PHP que recebe requisições ajax de outra página, em outra hospedagem, isso foi possível utilizando header('Access-Control-Allow-Origin: *');
Até aí tudo certo, mas gostaria de saber de onde vem a requisição, isso é possível?

Exemplo: tenho a página em server1.com que recebeu a requisição de uma página em server2.com, gostaria de saber que foi server2.com que enviou.

1
  • 1
    Você pode olhar o REFERER, mas ele pode ser forjado facilmente. O ideal seria fazer uma requisição DNS para o servidor, obter o IP deste, e comparar com o IP da requisição (ou registrar diretamente o IP do servidor na sua aplicação)
    – Largato
    Commented 10/04/2016 às 4:07

2 Respostas 2

6

O método mais eficiente é fazer um tipo de cadastro dos seus servidores e depois comparar o IP, isso você pode fazer de diversas formas, algumas bem engenhosas, mas o objetivo aqui é dar uma base.

<?php

$ip = (isset($_SERVER['HTTP_CF_CONNECTING_IP'])) ? $_SERVER['HTTP_CF_CONNECTING_IP'] : (isset($_SERVER['REMOTE_ADDR'])) ? $_SERVER['REMOTE_ADDR'] : '0.0.0.0';

$servers = [
    'server_1' => '209.244.0.3',
    'server_2' => '208.67.220.220',
    'server_3' => '189.38.95.95'
];

$result = array_search($ip, $servers);
var_dump($result);

Na variável $ip, nós usamos dois operadores ternários para capturar o IP de quem fez a requisição. Basicamente é uma validação extra para evitar erros e, no caso de estar usando CloudFlare no servidor de destino, ele pega o IP real e não o IP do CloudFlare.

Depois temos um array $servers com as lista de servidores onde na chave está o nome do servidor e no valor da chave, o IP correspondente. Esse seria nosso "cadastro" de servidores. Você pode fazer isso banco de dados se quiser, por exemplo.

A função array_search irá procurar pelo IP que pegamos dentro do nosso array e, se encontrar, irá retornar o nome do servidor, se não encontrar, irá retornar false.

É isso.

1
  • 2
    Vale dizer que se for só pra ele saber se está ou não na lista, pode usar o in_array (caso saber o nome do servidor não faça diferença).
    – Largato
    Commented 10/04/2016 às 12:30
2

A parte mais complicada é obter o IP correto.

Sugiro que verifique os seguintes parâmetros, para obter o IP:

$_SERVER['REMOTE_ADDR']
$_SERVER['REMOTE_PROXY']
$_SERVER['HTTP_CF_CONNECTING_IP']

Implementação:

$ip = array(
    'REMOTE_ADDR' = null,
    'REMOTE_PROXY' = null,
    'HTTP_CF_CONNECTING_IP' = null
)
if (isset($_SERVER['REMOTE_ADDR'])) {
    $ip['REMOTE_ADDR'] = trim($_SERVER['REMOTE_ADDR']);
}
if (isset($_SERVER['REMOTE_PROXY'])) {
    $ip['REMOTE_PROXY'] = trim($_SERVER['REMOTE_PROXY']);
}
if (isset($_SERVER['HTTP_CF_CONNECTING_IP'])) {
    $ip['HTTP_CF_CONNECTING_IP'] = trim($_SERVER['HTTP_CF_CONNECTING_IP']);
}


/*
Aqui você decide qual desses valores deseja consultar.
Comece pelo proxy, pois é o que retorna o "IP real", caso a conexão esteja sendo feita via proxy. Quando um cliente usa um proxy, `REMOTE_ADDR` assume o IP do proxy. Se o proxy for transparente, `REMOTE_PROXY` retornará o IP real do cliente. Isso é também muito útil para pegar "hackerzinho" que usa qualquer proxy pensando estar protegido.
*/
if (!empty($_SERVER['REMOTE_PROXY'])) {
    $rs = $_SERVER['REMOTE_PROXY'];
} else if (!empty($_SERVER['HTTP_CF_CONNECTING_IP'])) {
    $rs = $_SERVER['HTTP_CF_CONNECTING_IP'];
} else {
    $rs = $_SERVER['REMOTE_ADDR'];
}

/*
As vezes o IP pode vir acompanhado de múltiplos IPs.
exemplo: 192.168.0.1, 127.0.0.1
Para detectar esses casos, é recomendado fazer uma verificação:
*/
if (strpos($rs, ', ')) {
    $ips = explode(', ', $rs);
    /*
    Você pode querer checar 1 por 1. Mas isso varia de acordo com a necessidade de cada caso.
    Aqui vamos pegar somente o primeiro do array para simplificar a didática
    */
    $rs = $ips[0];
}

/*
Faz um IP lookup reverse.
Obtém nome do domínio, caso exista.
*/
$dns = gethostbyaddr($rs);

/*
Imprime o IP e o dns
*/
echo $rs.'<br>'.$dns;

Compare as informações do IP, obtido do script de exemplo acima, com REMOTE_HOST_BY_ADDR e HTTP_REFERER:

$_SERVER['REMOTE_HOST_BY_ADDR']
$_SERVER['HTTP_REFERER']

Caso o IP retorne vazio ou inválido, a decisão de como proceder dependerá do seu modelo de negócios. Normalmente um sistema restrito onde exige-se uma identificação mínima de quem requisita, bloqueie ou negue o acesso.

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .