Resumo: Não há como, não que eu seja pessimista, mas de fato não há como.
Proteção de CSRF:
Se está preocupado de alguém ler o conteúdo, existem duas situações "distintas":
- Obter o seu
/json.json
no lado do cliente, via Javascript/Ajax.
- Obter o seu
/json.json
no lado do "servidor"/"cliente", via cURL/Wget/Webviewer (e "navegadores personalizados").
A primeira situação é mais fácil e de fato "há o que fazer" para impedir:
- Adicionar o cabeçalho de
Access-Control-Allow-Origin
, estrito para o seu website.
- (Opcional) Adicione o
Access-Control-Allow-Headers
, limite os cabeçalhos (ex. X-CRSF-TOKEN
) que podem ser enviados.
- (Opcional) Adicione o
Access-Control-Allow-Methods
, limite os métodos aceitos (ex. GET
) assim somente este método será aceito.
Logo poderá utilizar:
header('Access-Control-Allow-Origin: http://www.dominio.com http://m.dominio.com');
header('Access-Control-Allow-Methods: GET');
Recomendo ver esta resposta.
- Adicionar um
CSRF Token
.
- O CSRF Token deve ser válido apenas para uma única sessão.
- (Recomendado) O CSRF Token deve ser válido para um único IP.
- (Opcional) O CSRF Token deve expirá após um único uso.
- (Opcional) O CSRF Token deve único para cada URL ou para cada seguimento.
Pode ler esta resposta, apensar de descordar e não recomendar o uso do generateRandomString()
por ser um LCG.
Medidas pouco eficientes, mas que podem ajudar:
- Verificar o
Referrer
/Origin
, são facilmente falsificados.
A segunda situação é impossível de ser corrigida, literalmente, não há como impedir isso, tudo listado acima não é suficiente para impedir o uso de cURL/Wget.
Criar um Rate-Limit
, um limite de quantas vezes a página pode ser acessada por segundo por IP (ou faixa de IPv6) é relativamente eficiente, pois exigirá o uso de vários proxies caso deseja obter o conteúdo constantemente, mas lembre-se do CGNAT no IPv4.
Bloquear acesso via TOR e proxies públicos.
Medidas bem menos eficientes, mas que podem ajudar:
- Criar um "desafio" em Javascript, como por exemplo o
jjencode
, o CloudFlare utiliza isto.
Podem haver outros problemas de segurança, que não é o CSRF, como por exemplo o MiTM, XSS, DoS (inclusive o json_decode
, padrão, é vulnerável por hash-dos) e entre outros problemas como Side-Channel Attacks, mas isto são outras coisas que não tem relação com a pergunta...
Access-Control-Allow-Origin
. ?$_SERVER['REMOTE_HOST'] ou $_SERVER['REMOTE_ADDR']
já que apenas 2 hosts que terão acesso.