如何实现仅允许用户添加谷歌Drive、OneDrive等指定站点的链接

你当前使用的前端输入控件代码如下：

<input type="url" id="url" class="form-control image_url">

这个控件仅能在前端层面校验输入内容是否符合URL基本格式，完全无法限制域名范围，且前端校验可以通过控制台修改代码、抓包篡改请求等方式随意绕过，不能作为安全校验的依据。

你写的PHP逻辑存在核心错误：if(!$url_allowed)判断永远不会触发——你已经提前给$url_allowed赋值为非空数组，该条件恒为false，根本没有实现「用户提交URL与白名单匹配」的核心逻辑，完全起不到域名限制作用。
另外如果用简单的字符串前缀匹配URL开头，还存在被https://drive.google.com.evil.com这类伪造钓鱼域名绕过的安全风险。

所有校验逻辑必须以后端PHP为准，核心流程分为四步：

• 接收用户提交的URL参数，先做格式合法性校验
• 解析URL提取纯域名（host）部分，排除协议、路径、参数、大小写对匹配结果的干扰
• 配置允许的网盘域名白名单
• 对提取到的域名做精确匹配校验，确认在白名单内才放行

完整可直接使用的PHP代码 #

// 接收用户提交的URL，参数名根据你的实际表单字段调整，此处对应前端input的name属性为url
$submit_url = trim($_POST['url'] ?? '');

// 第一步：校验URL基本格式是否合法
if (!filter_var($submit_url, FILTER_VALIDATE_URL)) {
    echo '无效链接，请输入合法的URL地址';
    return;
}

// 第二步：解析URL提取域名，统一转小写避免大小写绕过
$url_info = parse_url($submit_url);
$submit_host = strtolower($url_info['host'] ?? '');
if (!$submit_host) {
    echo '无效链接，无法解析域名信息';
    return;
}

// 第三步：配置允许的网盘域名白名单，仅需填写域名，不需要带协议、路径
$allowed_host_list = [
    'drive.google.com', // 谷歌Drive
    '1drv.ms', // OneDrive分享链接
    // 后续新增支持的网盘，直接往数组内添加对应域名即可
];

// 第四步：精确校验域名是否在白名单内
if (!in_array($submit_host, $allowed_host_list, true)) {
    echo '无效链接，仅允许添加指定网盘的分享链接';
    return;
}

// 校验通过，此处编写后续业务逻辑
echo '链接校验通过';

可选优化 #

• 如果需要支持某网盘的多级子域名，可以将精确匹配调整为域名后缀匹配逻辑，适配多子域名的场景
• 可以补充前端实时校验提升用户输入体验，但绝对不能替代后端校验
• 如果需要限制用户只能提交网盘的分享页，可以在域名校验通过后，根据对应网盘分享链接的路径特征增加二次规则校验，过滤非分享页面的链接

内容的提问来源于stack exchange，提问作者Mohammad