本文介绍一种基于浏览器 localstorage 的前端方案，解决 php 服务端无法区分“直接访问”与“导航栏点击”的难题：通过 javascript 在用户点击导航链接时设置标记、页面加载后清除标记，从而精准拦截非法直连。
本文介绍一种基于浏览器 localstorage 的前端方案，解决 php 服务端无法区分“直接访问”与“导航栏点击”的难题：通过 javascript 在用户点击导航链接时设置标记、页面加载后清除标记，从而精准拦截非法直连。
传统 PHP 服务端校验（如比对 SCRIPT_FILENAME 与 REQUEST_URI）虽能阻止直接访问，但因其无法感知用户操作来源——无论是手动输入 URL 还是点击 <a href="page.php"></a>——导致合法的导航跳转也被一并拦截。根本原因在于：HTTP 协议本身不传递“跳转行为上下文”，服务端永远收不到“用户刚点了导航菜单”这类信息。
因此，必须引入客户端协同机制。核心思路是：用 localStorage 作为轻量级“会话通行证”：
- ✅ 用户点击导航栏链接时，JavaScript 主动写入临时标记（如
localStorage.setItem('nav_access', 'valid')）； - ✅ 目标页面（如
about.php）在 HTML中嵌入 JS 检查该标记； - ❌ 若标记不存在 → 视为非法直连，立即重定向至首页或返回 403；
- ✅ 若标记存在 → 允许加载，并在 DOM 就绪后立即清除标记（
localStorage.removeItem('nav_access')），确保单次有效。
实现步骤（完整示例）
1. 导航栏链接增强（所有含跳转的 <a></a> 标签）
<!-- navbar.php 或全局模板中 -->
<nav><a href="about.php" onclick="markNavAccess(); return true;">关于我们</a>
<a href="contact.php" onclick="markNavAccess(); return true;">联系我们</a>
</nav><script>
function markNavAccess() {
localStorage.setItem('nav_access', 'valid');
}
</script>
2. 受保护页面头部校验逻辑（如 about.php 开头）
<?php // 保留原有服务端基础防护（可选，作为兜底）
if ($_SERVER['REQUEST_METHOD'] === 'GET' &&
realpath(__FILE__) === realpath($_SERVER['SCRIPT_FILENAME'])) {
http_response_code(403);
exit('<h1>403 Forbidden');
}
?>
<meta charset="UTF-8"><title>关于我们</title><script>
// 页面加载时立即检查
document.addEventListener('DOMContentLoaded', function() {
const flag = localStorage.getItem('nav_access');
if (flag !== 'valid') {
// 非导航跳转：强制重定向
window.location.href = 'index.php';
return;
}
// 清除标记，防重复使用
localStorage.removeItem('nav_access');
});
</script><h1>关于我们</h1>
<!-- 页面内容 -->
注意事项与安全边界
- ⚠️ 此方案非绝对安全：localStorage 可被用户手动修改或清除，仅适用于防止无意直连或初级爬虫，不可替代服务端权限控制（如登录态校验、RBAC）。真实业务中，必须配合 Session/Token 验证用户身份与资源权限。
- ⚠️ 跨域限制：localStorage 作用域为协议+域名+端口，若网站含子域名（如
admin.example.com），需统一配置document.domain或改用sessionStorage（页面级隔离更严格）。 - ✅ 用户体验友好：无刷新跳转、无延迟感知，且兼容所有现代浏览器。
- ? 扩展建议：可结合时间戳（如
localStorage.setItem('nav_access', Date.now())）增加时效性，避免标记长期残留。
总结：当服务端无法获取用户行为上下文时，客户端标记 + 服务端兜底 是平衡安全性与可用性的务实解法。关键在于理解——防御分层：前端做体验优化与初级拦截，后端做最终授权决策。
