IP白名单为管理界面

对于一个巨大的项目，我们将做一个“superadmin”登录（所有其他管理工作直接在前端）的地方，你可以改变很多事情。IP白名单为管理界面

由于安全性确实非常重要，我一直在考虑只允许具有特定IP的用户进行连接。有谁知道这样做的网站，它是过度保护，或者你能推荐另一种真正安全的管理方式吗？只有在Chrome或Firefox中有一些有用的可能性时，我们才能使其适用于特定的浏览器。

FYI前端是JavaScript的，HTML和CSS只

来源

2014-02-25 Morten Hjort

'另一种真正安全的方式'阻止你在你的前端Javascript中使用它。在服务器端进行。 – Lloyd

用户管理不是用于后端的任务，而不是前端？ – Joseph

在你的javascript中的IP阻塞并不是非常有用，有人可以改变它的价值......为了安全起见，你需要*让后端验证和限制所有内容，而不是你的前端js。 – gpgekko

将没有意义做客户端，因为没有什么真正停止从修改/禁用您的JS攻击者。

所以只有安全选项是服务器端。我自己在PHP中使用CMS系统。

UPDATE：样品实施

在该项目中，我使用了GeoIP的服务（如this one从的MaxMind）

function geoIPRequest($ip){ 
    $params = getopt('l:i:'); 

    if (!isset($params['l'])) $params['l'] = '<userIDtoMaxMind>'; 
    if (!isset($params['i'])) $params['i'] = $ip; 

    $query = 'https://geoip.maxmind.com/a?' . http_build_query($params); 

    $curl = curl_init(); 
    curl_setopt_array(
     $curl, 
     array(
      CURLOPT_URL => $query, 
      CURLOPT_USERAGENT => 'MaxMind PHP', 
      CURLOPT_RETURNTRANSFER => true 
     ) 
    ); 

    $countryCode = curl_exec($curl); 

    if (curl_errno($curl)) { 
     throw new Exception(
      'GeoIP request failed with a curl_errno of ' 
      . curl_errno($curl) 
     ); 
    } 
    return $countryCode; 
} 

$countryCode = geoIPRequest($_SERVER['REMOTE_ADDR']); 

if(!in_array($countryCode, array('DE', 'DK', 'EU', 'GB', 'SE'))){ 
    header('HTTP/1.0 403 Forbidden'); 
    echo "You don't have access"; 
    exit(); 
}

上面的代码是从示例代码适应上的MaxMind网站

你当然需要适应你的用例。对我而言，特定的国家已经够好了。如果您需要将特定的 IP列入白名单，我建议您创建一个包含白名单IP的数据库表，然后在有人请求您的管理页面时查询该表。

来源

2014-02-25 13:00:09 Lasse

有趣。你是怎么做到的？ –

@MortenHjort我在回答中添加了一个完整的示例。请记住，为了清晰起见，我简化了一下。您可能需要考虑您使用的GeoIP服务的缓存结果。 – Lasse

当某人使用正好在同一区域的代理/ VPN时，它的价格如何？或者当第三方服务出现故障时？它可以削弱系统。 – Joseph