PHP $_SERVER变量安全问题：授权系统域名验证风险咨询

1. 改用服务器端可控的变量替代$_SERVER['HTTP_HOST'] #

HTTP_HOST来自客户端请求头，完全可被伪造，绝对不能用于授权验证。优先使用以下可靠变量：

• $_SERVER['SERVER_NAME']：该值取自Web服务器（Apache/Nginx等）的配置（比如VirtualHost的ServerName指令），无法通过客户端请求篡改。需确保服务器配置正确：Apache开启UseCanonicalName On，Nginx正确设置server_name并开启server_name_in_redirect on。
• $_SERVER['SERVER_ADDR']：获取服务器的IP地址，结合预授权的IP列表做验证，IP信息无法通过客户端请求篡改。

2. 配置层面限制全局变量篡改 #

在php.ini中确保register_globals = Off（默认已关闭），若不需要相关功能，可通过disable_functions禁用能修改超全局变量的函数（如putenv()），从环境上减少篡改可能。

3. 增加多维度验证机制 #

不要仅依赖单一场景验证，结合以下方式提升安全性：

• 绑定服务器硬件特征：读取CPU序列号、硬盘UUID等硬件信息，与域名一起提交到授权服务器验证，硬件信息无法通过客户端代码篡改。
• 引入签名验证：软件启动时向授权服务器发送加密后的服务器信息，授权服务器返回专属签名，软件本地验证签名有效性，确保验证流程未被篡改。

4. 彻底拒绝客户端可控信息 #

所有用于授权逻辑的核心数据，必须来自服务器端可控的来源（配置文件、硬件信息、服务器内部变量），绝对不要信任任何客户端发送的请求头、参数等数据。

内容的提问来源于stack exchange，提问作者Perfection