Для этого нет курящего пистолета. Тем не менее, там, где нет больших пушек, большое раздражение может. Хакеры любят вызов, но они предпочитают легкую цель. Будьте достаточно раздражающими, чтобы они сдались.
Google и другие эффективно делают это с помощью рекламных слов. Создайте токен API и попросите их отправить это. Создайте процесс проверки сайтов, использующих ваш сценарий, для которого требуется, чтобы владелец этого сценария разрешил профилирование своего сайта перед использованием сценария. Затем вы можете собрать каждый бит информации о рассматриваемом сервере и, если профиль сервера не совпадает с тем, который указан в записи, может запросить.
Получите все, что вы можете знать о браузере и клиенте, и создайте для него профиль. Если есть вероятность подделки браузера, отбросьте запрос. Если профиль повторяется, но файл cookie пропущен, игнорируйте ввод. Если вы получили более одного запроса от токена за короткий период (то есть быстрое обновление страницы, присущее попыткам взлома), игнорируйте запрос.
Затем сделайте еще один шаг и пропингуйте реальный домен, чтобы убедиться, что он существует и является авторизованным доменом. Даже если страница находится за логином, домен все равно ответит. Это само по себе не остановит хакеров, но это делается на стороне сервера и поэтому скрыто.
Кроме того, вы можете рассмотреть вопрос о профилировании контента для страницы. Если сайт, посвященный кухонной утвари, начинает отправлять контент для знакомств для взрослых, поднимите красный флаг.
Наконец, когда приходит плохой запрос, который вы профилировали как плохой запрос, отправьте JSONP из того, что было бы хорошим запросом для этой страницы, основываясь на данных, которые вы считаете хорошими (24-часовая версия страницы так далее.). Не говорите хакеру, что вы знаете, что они там. Действуй так, как будто все в порядке. Им потребуется некоторое время, чтобы понять это!
Ни одна из этих идей не отвечает точным потребностям вашего вопроса, но, надеюсь, она вдохновит вас на коварное и творческое мышление.