AppEngine : 외부 요청 방지

Question

애플리케이션 외부의 리퍼러로부터의 요청을 방지하는 우아한 방법이 있습니까? app.yaml 문서를 살펴보면 상자 기능과 같지 않지만 수동으로 다시 구현해야하는 것이 아니라 어딘가에 어딘가에 숨겨져 있어야한다는 것이 일반적으로 선호되는 것처럼 보입니다. 모든 애플리케이션에 대해

Answer 1

아니요. GAE에는 기본 제공 로직이 없습니다. 모든 지원은 애플리케이션 별 요청 라우팅 수준에서 이루어져야합니다.

Answer 2

이 내장되어

를 애플리케이션 제목에서 당신이 핸들러 login: admin을 지정할 수 있으며, 단지 관리자 나 AppEngine에 (의 요청을 받아들이 예를 들어 크론, taskqueues, 앱 자체의 pribably URL을 가져올 수. - 마지막 하나는 확실하지 않다.).

https://cloud.google.com/appengine/docs/python/config/appref#handlers_element은 또한 당신이 리퍼러, IP, 사용자 에이전트처럼 HTTP_HEADERS을 확인할 수 있습니다

이 문서를 참조하십시오.

또한 토큰을 발행하고 모든 요청에 ​​대해 토큰을주고받을 수 있습니다.

Answer 3

여기에는 몇 가지 문제가있을 수 있습니다.

CORS - 악의적으로 페이지를 방지하거나 비 원 서버에 데이터를 보내는 브라우저를 강제하는 보안 수단. 서버는이를 강제 할 수 없으며 오직 그것을 허용합니다. 허용되는 응용 프로그램 수준의 우려 사항 (예 : GAE에 기본 제공되지 않음)

XSRF - 악의적 인 클라이언트 코드로 인해 계정이 악용 된 인증 된 사용자를 중지시키기위한 서버 강제 보안 조치입니다. 애플리케이션 수준의 문제입니다 (예 : GAE에 기본 제공되지 않음).

인증 - 일부 권한 집합으로 사용자 또는 클라이언트 식별. GAE (클라우드 종점, 아이덴티티 서비스 제공, 관리자 로그인 필요)에 대한 일부 지원이 있지만 일반적으로 응용 프로그램 수준의 관심사이기도합니다. 클라이언트를 승인하는 경우 (사용자가 아닌) 지원이 없습니다.

인증 - 역할/권한에 따라 다른 액세스 세트. 아니 내장

다른 솔루션 :. 호스트 또는 원산지 헤더를 사용

을 - 하찮게 outfoxed 컬 요청, 또는 더 복잡한 응용 프로그램을 구현하는 사람이

API 토큰 - 미세 HTTPS를 통해 서버에 서버 만 게시 된 클라이언트 (예 : 웹 페이지)에서 사용할 때 쉽게 손상됨

가장 좋은 방법은 프레임 워크를 활용하고 사용자 계정을 확보하는 것입니다.

이렇게하고 싶지 않은 경우 XSRF (헤더와 쿠키의 토큰)로 웹 클라이언트가 '앱'에 응답했는지 확인하는 것만으로도 충분합니다. 이것은 클라이언트가 웹 브라우저이지만 origin/host와 동일한 경우에만 작동합니다.