Estou procurando ideias originais de como validar o acesso a uma API em php para apenas o domínio que pagou a licença, uma vez que SERVER['HTTP_REFERER']
não é confiável.
Eu criei um chave de ativação em json e encriptei, gerei um método de decrepitação, mais isso não garante que a chave possa ser copiada para múltiplos domínios. Alguém já implementou algo do gênero com uma solução alternativa?
public function GerarKeyToken($tamanho = 8, $maiusculas = true, $numeros true, $simbolos = false){
// Caracteres de cada tipo
$lmin = 'abcdefghijklmnopqrstuvwxyz';
$lmai = 'ABCDEFGHIJKLMNOPQRSTUVWXYZ';
$num = '1234567890';
$simb = '!@#$%*-';
// Variáveis internas
$retorno = '';
$caracteres = '';
// Agrupamos todos os caracteres que poderão ser utilizados
$caracteres .= $lmin;
if ($maiusculas) $caracteres .= $lmai;
if ($numeros) $caracteres .= $num;
if ($simbolos) $caracteres .= $simb;
// Calculamos o total de caracteres possíveis
$len = strlen($caracteres);
for ($n = 1; $n <= $tamanho; $n++) {
// Criamos um número aleatório de 1 até $len para pegar um dos caracteres
$rand = mt_rand(1, $len);
// Concatenamos um dos caracteres na variável $retorno
$retorno .= $caracteres[$rand-1];
}
return $retorno;
}
public function Encrypt($MegaImporterLicenca){
$key = hash('sha256', $MegaImporterLicenca->GetKeyToken());
$iv = substr(hash('sha256', $MegaImporterLicenca->GetKeyToken()), 0, 16);
$encrypt_text = json_encode(array('id' => $MegaImporterLicenca->GetId(),
'dominio' => $MegaImporterLicenca->GetDominio(),
'cadastro' => $MegaImporterLicenca->GetCadastro(),
'expiracao' => $MegaImporterLicenca->GetExpiracao()));
$output = openssl_encrypt($encrypt_text, METHOD, $key, 0, $iv);
$output = base64_encode($output);
return $output;
}
public function Decrypt($MegaImporter,$hash){
$key = hash('sha256', $MegaImporter->GetKeyToken());
$iv = substr(hash('sha256', $MegaImporter->GetKeyToken()), 0, 16);
$output = openssl_decrypt(base64_decode($hash), METHOD, $key, 0, $iv);
return $output;
}
REFERER
é uma boa. Se é em ambos, precisa limitar a quantidade de consultas para que a pessoa não queira "dividir" a chave (ou cobrar por consulta, ai tanto faz de onde cada um acessa). Seu problema não é limitar o acesso, e sim receber o $ corretamente por isso. Transfira o prejuizo de dividir a chave para o cliente, que o problema se resolve.