如何区分UI客户端与REST客户端发起的REST API调用？

这确实是个常见的需求，但得先明确：没有100%绝对可靠的方法能完全区分这两种调用——毕竟前端的任何标识都可能被伪造。不过我们可以用一些手段来提高区分度，下面是几个实用的方案：

1. 自定义请求头标识 #

在UI发起的所有请求里，添加一个自定义的请求头（比如X-Request-Source: ui-client），后端API校验这个头的存在和值。

这种方法实现最简单，但安全性很低——用户完全可以在浏览器网络面板、Postman这类工具里手动添加这个头来伪造UI请求。所以它只能用来做简单的统计或逻辑分支，不能作为安全校验的依据。

举个Java Spring的后端校验示例：

@GetMapping("/api/your-endpoint")
public ResponseEntity<?> handleRequest(
    @RequestHeader(value = "X-Request-Source", required = false) String requestSource
) {
    boolean isFromUI = "ui-client".equals(requestSource);
    if (isFromUI) {
        // 处理来自UI的调用逻辑
    } else {
        // 处理直接REST调用的逻辑
    }
    return ResponseEntity.ok().build();
}

2. 校验Referer/Origin请求头 #

浏览器在用户通过UI操作发起请求时，通常会自动带上Referer（记录请求发起的页面URL）或Origin（记录请求的来源域名）头。如果是手动构造的REST调用，这些头可能不存在，或者值不是你的UI域名。

不过这个方法也有局限性：

• 隐私模式或某些浏览器设置会禁用Referer头
• 这些头同样可以被手动伪造
• 跨域场景下Origin头的规则会更严格

举个Node.js Express的示例：

app.get('/api/your-endpoint', (req, res) => {
    const allowedDomain = 'https://your-ui-domain.com';
    const referer = req.get('Referer');
    const origin = req.get('Origin');
    
    const isFromUI = referer?.includes(allowedDomain) || origin === allowedDomain;
    
    if (isFromUI) {
        // UI调用逻辑
    } else {
        // 其他调用逻辑
    }
    res.sendStatus(200);
});

3. 请求签名机制（相对可靠） #

如果你的需求涉及安全校验（比如某些操作只能通过UI触发），可以用请求签名的方式：

1. UI先向后端请求一个短期有效的签名密钥（绑定当前会话）
2. 每次UI发起API请求时，用这个密钥对请求参数、时间戳等内容生成签名，放在请求头里（比如X-Request-Signature: [签名值]）
3. 后端收到请求后，用相同的规则重新生成签名，和请求头里的签名对比，校验合法性

这种方法的安全性更高，因为密钥是短期且绑定会话的，用户很难伪造有效的签名。但注意：如果密钥是硬编码在前端代码里，还是有被反编译获取的风险，所以一定要通过后端接口动态发放短期密钥。

4. 结合会话行为上下文 #

后端可以记录用户的会话行为：比如用户在调用目标API前，是否有访问过对应的UI页面、触发过交互事件（比如按钮点击的埋点上报）。如果某个API请求没有对应的前置行为记录，大概率是直接的REST调用。

这种方法适合做辅助判断，但依赖会话日志的完整性，而且对于频繁调用的API可能不太准确。

关键提醒 #

所有前端可控的标识都存在被伪造的可能，不要把区分来源作为安全校验的唯一依据。如果你的核心需求是限制某些操作的执行，应该从后端权限、操作合法性（比如参数校验、会话状态）等层面入手——即使是直接调用API，只要用户有合法权限且操作符合规则，是否允许执行？如果不允许，那应该从权限逻辑上限制，而不是单纯区分请求来源。

内容的提问来源于stack exchange，提问作者SBB