Script (public) vor unerlaubtem Zugriff schützen

[carapau]

Hallo zusammen,

ich möchte, dass Server A ein Script auf Server B aufruft und dabei möglichst gängige Apache-Module verwenden bzw. zusätzliche Klassen, damit ich vom Hoster unabhängig bin.

Mein aktueller Lösungsansatz:
- Server B speichert die IP/Refferer von Server A in einer "whitelist"
- Beim Aufruf des Scriptes wird die IP mit denen in der whitelist verglichen und entschieden, ob eine Ausführung erlaubt ist

Mich stört: das Script ist über den Browser erreichbar und kann somit theoretisch auch von anderen Kunden aufgerufen werden.

Google und die Boardsuche haben nichts ausgespuckt, vermutlich weil mir keine vernünftigen Suchbegriffe dazu einfallen.

Wie würdet ihr vorgehen?

[ezkimo]

Hm, und wie wäre es mit einer htaccess im entsprechenden Verzeichnis, die nur den Zugriff durch Server A erlaubt? Oder um noch sicherer zu gehen ein Passwortschutz via htaccess und dann der Zugriff via cURL?

[carapau]

Hm, und wie wäre es mit einer htaccess im entsprechenden Verzeichnis, die nur den Zugriff durch Server A erlaubt? Oder um noch sicherer zu gehen ein Passwortschutz via htaccess und dann der Zugriff via cURL?

Das klingt sehr gut, allerdings befürchte ich, dass nicht jeder Host cURL zulässt.

[wahsaga]

Mein aktueller Lösungsansatz:
- Server B speichert die IP/Refferer von Server A in einer "whitelist"

Referer gibt’s nicht. Bzw. jeder, dessen Server einen Request an deinen stellt, kann den Wert selber setzen.

- Beim Aufruf des Scriptes wird die IP mit denen in der whitelist verglichen und entschieden, ob eine Ausführung erlaubt ist

Mich stört: das Script ist über den Browser erreichbar und kann somit theoretisch auch von anderen Kunden aufgerufen werden.

Wie wär’s damit, die „Whitelist” nicht selber im Script zu prüfen – sondern das in einer .htaccess mittels ALLOW/DENY zu machen …?

Script in ein eigenes Verzeichnis legen, eine .htaccess rein, in der die ge-whitelisteten IPs (dynamisch) eingetragen werden … und fertig.

[carapau]

Referer gibt’s nicht. Bzw. jeder, dessen Server einen Request an deinen stellt, kann den Wert selber setzen.


Wie wär’s damit, die „Whitelist” nicht selber im Script zu prüfen – sondern das in einer .htaccess mittels ALLOW/DENY zu machen …?

Script in ein eigenes Verzeichnis legen, eine .htaccess rein, in der die ge-whitelisteten IPs (dynamisch) eingetragen werden … und fertig.

Vielen Dank für eure Antworten! Klingt sehr gut. Ich werde mal ein bisschen rumgooglen und es wohl mit htaccess lösen.