使用Disqus通用代码嵌入时，其如何验证网站身份及其他校验方式

嘿，这个问题问得特别实在——我当初第一次折腾Disqus集成的时候，也纠结过同样的点！咱们一步一步拆解清楚：

核心识别逻辑：Origin/Referer 校验 #

你猜的完全没错，**来源URL（Origin/Referer 请求头）**是Disqus最基础的校验手段。当你的页面加载mywebsite.disqus.com/embed.js时，浏览器会自动把当前页面的Referer（或Origin）信息附在请求头里发给Disqus服务器。服务器会立刻把这个值和你在Disqus后台配置的「信任域名」列表做比对，只有匹配上的域名，脚本才会正常加载评论组件；要是来源不对，直接就会被拒绝或者返回无效内容。

其他关键校验机制 #

除了来源头，Disqus还有好几层防护来防止滥用：

• 嵌入代码中的disqus_shortname绑定：你在通用代码里必须指定var disqus_shortname = 'mywebsite';，这个短名称是和你的Disqus站点一对一绑定的。就算有人扒走了你的embed.js链接，如果没正确设置这个短名称，脚本根本不知道要加载哪个站点的评论区；就算他们硬抄了你的短名称，结合前面的来源校验，非信任域名的请求还是会被拦下来。

• 动态生成的签名令牌：当脚本正常加载后，Disqus会生成带有加密签名的请求令牌，后续加载评论数据、提交评论等操作都会带上这个令牌。令牌里包含了当前域名、短名称等关键信息，服务器会验证签名的有效性，防止篡改或者跨站伪造请求。

• 后台域名白名单的强制限制：你在Disqus后台设置的信任域名是硬限制，就算有人绕开了前端的校验，服务器端也会严格核对请求的来源是否在白名单内。而且这个白名单只有你能修改，其他人没法随便添加新域名。

• 请求频率限流：Disqus会对每个短名称、每个IP的请求频率做限制，防止有人恶意刷请求或者批量滥用你的嵌入代码。

为什么别人没法随便用你的嵌入代码？ #

总结一下，就算有人复制了你的embed.js链接和前端代码，他们会连续遇到几道坎：

1. 浏览器自动发送的Referer头不匹配你的信任域名，直接被服务器拦截；
2. 就算他们伪造了Referer（部分极端场景可能做到），还有短名称绑定和令牌签名校验拦着；
3. 就算过了前面的关卡，Disqus后台的白名单也会把非信任域名的请求拒之门外。

所以基本上不用担心别人滥用你的Disqus嵌入代码~

内容的提问来源于stack exchange，提问作者Henry Boisgibault