ThinkPHP如何做请求来源验证_ThinkPHP Referer与Origin校验【方法】-ThinkPHP-PHP中文网

Referer校验常失效因客户端可伪造，仅适合防手误；Origin才可靠，需校验其是否在白名单中，且须配置反向代理透传、用中间件分路径精准拦截。

thinkphp如何做请求来源验证_thinkphp referer与origin校验【方法】

Referer 校验为什么经常失效

因为 Referer 是客户端可随意伪造的 HTTP 头，浏览器、curl、Postman 甚至前端 JS 都能轻易改写。ThinkPHP 的 request()->header('referer') 拿到的值本身就不具备可信度，校验它只适合防手误或低门槛爬虫，不能用于权限控制或敏感操作拦截。

常见错误现象：if (strpos($referer, 'yourdomain.com') !== false) 直接判断，结果被 https://evil.com/yourdomain.com/attack 绕过；或者没做空值判断，$referer 为 null 或空字符串时抛出 Warning。

必须先用 isset() 或 !empty() 检查 Referer 是否存在
匹配域名要用 parse_url() 提取 host，避免子串匹配陷阱
生产环境别单独依赖 Referer，它只是辅助信号

Origin 头才是跨域请求的可靠依据

Origin 由浏览器在跨域请求（如 fetch、XMLHttpRequest）中自动添加，且无法被前端 JS 修改——这是浏览器安全策略强制保证的。ThinkPHP 中可用 request()->header('origin') 获取，但注意：同源请求（如页面内表单提交）不会携带 Origin，此时该值为空。

使用场景很明确：只在校验 API 接口（尤其是 POST/PUT/DELETE）是否来自合法前端域名时才有效。比如管理后台调用用户删除接口，必须确认 Origin 是 https://admin.yourapp.com。

Origin 值格式固定为 协议://域名:端口（端口省略时为默认端口），直接字符串比对即可
ThinkPHP 6+ 默认不拦截非法 Origin，需手动加中间件或控制器逻辑校验
若后端启用了 CORS，Access-Control-Allow-Origin 设置会影响前端能否读取响应，但不影响服务端对 Origin 的校验逻辑

如何在 ThinkPHP 控制器里安全地同时检查两者

实际项目中，你往往既想拦住明显异常的跨域请求，又想兼容同源表单提交——这时需要分路径处理，而不是一刀切。核心原则：允许无 Origin（同源），但若有 Origin，就必须合法；Referer 仅作补充参考，不参与准入决策。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

示例代码片段（放在控制器方法开头）：

$origin = $this->request->header('origin');
$referer = $this->request->header('referer');

// 有 Origin 必须校验
if ($origin && !in_array($origin, ['https://admin.yourapp.com', 'https://app.yourapp.com'])) {
    throw new HttpException(403, 'Invalid Origin');
}

// Referer 仅记录或调试用，不用于拒绝请求
if ($referer) {
    \think\Log::info('Referer detected', ['url' => $referer]);
}