Насколько безопасно доверять $_SERVER['REMOTE_ADDR']? Можно ли его заменить, изменив заголовок запроса или что-то в этом роде?
Безопасно ли писать что-то подобное?
if ($_SERVER['REMOTE_ADDR'] == '222.222.222.222') { // my ip address
$grant_all_admin_rights = true;
}
Да, это безопасно. Это исходный IP-адрес TCP-соединения, и его нельзя заменить путем изменения заголовка HTTP.
Один случай, о котором вы можете захотеть побеспокоиться, - это если вы находитесь за обратным прокси-сервером, и в этом случае REMOTE_ADDR всегда будет IP-адресом прокси-сервера, а IP-адрес пользователя будет предоставлен в заголовке HTTP (например, X-Forwarded-For). Но для обычного варианта использования чтение REMOTE_ADDR подойдет.
$_SERVER['REMOTE_ADDR'] - это IP-адрес, на который пришло TCP-соединение. Хотя технически возможно двунаправленное подделывание IP-адресов в Интернете (путем объявления нечестных маршрутов через BGP), такие атаки, скорее всего, будут обнаружены и недоступны для типичного злоумышленника - в основном ваш злоумышленник должен иметь контроль над интернет-провайдером или оператором связи. На данный момент не существует возможных однонаправленных атак спуфинга на TCP. Тем не менее, двунаправленная подмена IP-адреса в локальной сети является тривиальной задачей.
Также имейте в виду, что это может быть не IPv4, а IPv6-адрес. В этом отношении ваша текущая проверка подходит, но если вы проверите, что 1.2.3.4 происходит только где-нибудь в пределах $_SERVER['REMOTE_ADDR'], злоумышленник может просто подключиться с 2001:1234:5678::1.2.3.4.
В целом, для любых других приложений, кроме критических (банковские / военные / потенциальный ущерб> 50 000 евро), вы можете использовать удаленный IP-адрес, если вы можете исключить злоумышленников в своей локальной сети.
$_SERVER['REMOTE_ADDR'] IP-адресом, с которого пришло TCP-соединение, полностью зависит от вашего SAPI.
- person Pacerier; 06.03.2015
you have been kicked off the wlan пакетов с помощью правильных инструментов. google WPA downgrade test, например
- person hanshenrik; 22.11.2017
Как уже говорилось выше, это не совсем безопасно. Но это не значит, что вам не стоит его использовать. Попробуйте совместить это с некоторыми другими методами аутентификации, например, с проверкой значений COOKIE.
$_SERVER['REMOTE_ADDR'], установив заголовок HTTP-запроса. PHP автоматически префикс всех заголовков HTTP-запросов сHTTP_при создании ключей в$_SERVERсуперглобале. - person MrWhite schedule 08.12.2015