0

Estou procurando ideias originais de como validar o acesso a uma API em php para apenas o domínio que pagou a licença, uma vez que SERVER['HTTP_REFERER'] não é confiável.

Eu criei um chave de ativação em json e encriptei, gerei um método de decrepitação, mais isso não garante que a chave possa ser copiada para múltiplos domínios. Alguém já implementou algo do gênero com uma solução alternativa?

  public function GerarKeyToken($tamanho = 8, $maiusculas = true, $numeros true, $simbolos = false){
    // Caracteres de cada tipo
    $lmin = 'abcdefghijklmnopqrstuvwxyz';
    $lmai = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
    $num  = '1234567890';
    $simb = '!@#$%*-';
    // Variáveis internas
    $retorno     = '';
    $caracteres  = '';
    // Agrupamos todos os caracteres que poderão ser utilizados
    $caracteres .= $lmin;
    if ($maiusculas) $caracteres .= $lmai;
    if ($numeros) $caracteres .= $num;
    if ($simbolos) $caracteres .= $simb;
    // Calculamos o total de caracteres possíveis
    $len = strlen($caracteres);
    for ($n = 1; $n <= $tamanho; $n++) {
      // Criamos um número aleatório de 1 até $len para pegar um dos caracteres
      $rand = mt_rand(1, $len);
      // Concatenamos um dos caracteres na variável $retorno
      $retorno .= $caracteres[$rand-1];
    }
    return $retorno;
  }

  public function Encrypt($MegaImporterLicenca){
    $key           = hash('sha256', $MegaImporterLicenca->GetKeyToken());
    $iv            = substr(hash('sha256', $MegaImporterLicenca->GetKeyToken()), 0, 16);
    $encrypt_text  = json_encode(array('id'        => $MegaImporterLicenca->GetId(),
                                       'dominio'   => $MegaImporterLicenca->GetDominio(),
                                       'cadastro'  => $MegaImporterLicenca->GetCadastro(),
                                       'expiracao' => $MegaImporterLicenca->GetExpiracao()));
    $output        = openssl_encrypt($encrypt_text, METHOD, $key, 0, $iv);
    $output        = base64_encode($output);
    return $output;
  }

  public function Decrypt($MegaImporter,$hash){
    $key    = hash('sha256', $MegaImporter->GetKeyToken());
    $iv     = substr(hash('sha256', $MegaImporter->GetKeyToken()), 0, 16);
    $output = openssl_decrypt(base64_decode($hash), METHOD, $key, 0, $iv);
    return $output;
  }
3
  • Muito ampla a questão, pois depende de como vai ser consumida a API. Se for consumida só no servidor, pode limitar a quantidade de IPs num determinado tempo. Se for consumida só no browser, o REFERER é uma boa. Se é em ambos, precisa limitar a quantidade de consultas para que a pessoa não queira "dividir" a chave (ou cobrar por consulta, ai tanto faz de onde cada um acessa). Seu problema não é limitar o acesso, e sim receber o $ corretamente por isso. Transfira o prejuizo de dividir a chave para o cliente, que o problema se resolve.
    – Largato
    31/10/2018 às 16:27
  • O problema do REFERER é que pode ser falsificado, não é seguro. A api só deve dar acesso aos domínios que compraram a licença.Preciso apenas de idéias alternativas a lógica eu implemento. Obrigado pela correção, erro de digitação.
    – user77310
    31/10/2018 às 16:30
  • Como eu falei, se vai ser consumido no browser, é uma ótima o REFERER. Seu cliente não vai poder passar na casa de cada usuário final para falsificar isso. Jà, se ele acessar pelo servidor dele, ai ele falsifica. Por isso que depende do caso, e por isso que em cada situação tem um jeito de resolver. Só sabendo detalhes.
    – Largato
    31/10/2018 às 16:32

1 Resposta 1

-1

Você pode utilizar um Header que dá acesso a somente a alguns dominios... O Header é o Access-Control-Allow-Origin e você pode utiliza-lo de acordo com o exemplo abaixo...

<?php
$origin = $_SERVER['HTTP_ORIGIN'];
$allowed_domains = [
    'http://mysite1.com',
    'https://www.mysite2.com',
    'http://www.mysite2.com',
];

if (in_array($origin, $allowed_domains)) {
    header('Access-Control-Allow-Origin: ' . $origin);
}
1
  • Obrigado Vitor Braga por sua ideia, mas $_SERVER['HTTP_ORIGIN'] não é enviado por todos os navegadores e também não é confiável.
    – user77310
    31/10/2018 às 18:19

Você deve fazer log-in para responder a esta pergunta.