Какими способами вы можете обезопасить веб-страницу, чтобы ее можно было просматривать ТОЛЬКО из iFrame?

Question

Этот поток был создан еще в 2008 году Ограничение доступа к IFRAME в PHP

Я собираюсь сделать почти то же самое.т.е. я хочу, чтобы сайты были общедоступными, если они просматриваются из определенного iFrame, из определенного приложения.Приложение IFrame будет иметь аутентификацию пользователя, дающую им доступ к URL-адресам вне основного приложения.Все URL, скорее всего, будут созданы с использованием инструментов PHP с открытым исходным кодом, например Wordpress.

И просматриваемый iFrame, и просматриваемые сайты / страницы будут принадлежать нам.

Были ли какие-либо изменения впоследние несколько лет о способах сделать это?

По различным причинам, не связанным с этой конкретной проблемой, я рассматриваю возможность использования серверной инфраструктуры RIA Vaadin (JAVA) для создания приложения, которое будет содержать средство просмотра iFrame.

Демонстрация встроенного виджета здесь http://demo.vaadin.com/sampler#WebEmbed Глядя на источник страницы, я нигде не вижу, чтобы отображался адрес встроенной веб-страницы.Поэтому в какой-то степени мне интересно, могу ли я скрыть свои URL-адреса от поисковых систем, дать им очень длинные, случайно сгенерированные URI, и, возможно, их все равно будет невозможно найти?

Answer 1

Вы можете изменить framekiller , чтобы сделать наоборот.Framekiller - это фрагмент javascript, который предотвращает перехват кликов, определяя, была ли страница загружена в iframe.

Ограничить загрузку iframe на определенной странице сложнее.Смотреть на реферера легко, но также легко обойти.Если вы загрузите iframe со страницы https, реферер будет пустым.Лучшим способом было бы потребовать, чтобы сервер получил Nonce и включил это в URL iframe.Например, http://iframe_url?key=difhj8j84528423j423894hfdj897 или что-то еще.Было бы идеально, если бы сервер отправил запрос на ваш сервер.Выполнение этого с кодом на стороне клиента и jsonp для получения одноразового номера проблематично, поскольку злоумышленник может доставить модифицированный javascript для получения одноразового номера.