使用Curl跨服务器传输数据时，如何确认请求发起的服务器主机名？

嘿，我来帮你搞定这个跨服务器请求验证的问题！要在www.server2.com上确认请求确实来自www.server1.com，可以分两步来做：先获取请求来源的主机名，再做可靠的验证。下面是具体的实现方法：

一、先获取发起请求的服务器信息 #

首先你需要在www.server2.com的后端（看你的curl代码是PHP，所以这里以PHP为例）拿到请求的来源IP，再反向解析成主机名：

1. 获取请求的真实IP #

如果是直接的服务器间请求，没有经过代理的话，用$_SERVER['REMOTE_ADDR']就能拿到发起请求的www.server1.com的IP：

$clientIp = $_SERVER['REMOTE_ADDR'];

如果有CDN或反向代理，可能需要用X-Forwarded-For这类头，但要注意这个头可能被伪造，建议在代理层配置只信任合法的代理来源。

2. 反向解析IP到主机名 #

拿到IP后，用PHP的gethostbyaddr()函数把IP转换成对应的主机名：

$clientHostname = gethostbyaddr($clientIp);

这时候你就能得到发起请求的服务器主机名了，但只靠这个还不够安全，建议做进一步验证。

二、可靠验证请求确实来自www.server1.com #

为了避免DNS欺骗等问题，最好做双向验证或者添加自定义验证头，这里推荐两种方法：

方法1：正向解析+IP对比（基础验证） #

把www.server1.com正向解析成IP，再和请求的来源IP对比，这样比只看反向解析更可靠：

// 先获取www.server1.com的官方IP
$server1OfficialIp = gethostbyname('www.server1.com');

// 对比请求IP是否和官方IP一致
if ($clientIp === $server1OfficialIp) {
    echo "请求验证通过，确实来自www.server1.com";
} else {
    echo "警告：请求来源非法";
}

方法2：自定义请求头+IP双重验证（更安全） #

如果需要更高的安全性，可以在www.server1.com的curl请求里添加一个自定义的验证密钥，然后在www.server2.com端验证这个密钥：

第一步：在www.server1.com的curl代码里添加自定义头

修改你的curl代码，加上一个自定义的HTTP头（密钥建议存在配置文件或环境变量里，不要硬编码）：

$ch = curl_init( $url );
curl_setopt( $ch, CURLOPT_POST, 1);
curl_setopt( $ch, CURLOPT_POSTFIELDS, $myvars);
curl_setopt( $ch, CURLOPT_FOLLOWLOCATION, 1);
curl_setopt( $ch, CURLOPT_HEADER, TRUE);
curl_setopt( $ch, CURLOPT_RETURNTRANSFER, 1);
// 添加自定义验证头
curl_setopt($ch, CURLOPT_HTTPHEADER, [
    'X-Server-Auth: YourSuperSecureSecretKey_OnlyYouKnow'
]);
$response = curl_exec( $ch );

第二步：在www.server2.com的后端验证这个头

在接收请求的代码里，先检查自定义头是否存在且正确，再结合IP验证：

$validSecretKey = 'YourSuperSecureSecretKey_OnlyYouKnow';
$server1OfficialIp = gethostbyname('www.server1.com');

// 先验证密钥
if (isset($_SERVER['HTTP_X_SERVER_AUTH']) && $_SERVER['HTTP_X_SERVER_AUTH'] === $validSecretKey) {
    // 再验证IP是否匹配
    if ($_SERVER['REMOTE_ADDR'] === $server1OfficialIp) {
        echo "请求完全合法，来自可信的www.server1.com";
    } else {
        echo "密钥正确，但IP不匹配，请求可疑";
    }
} else {
    echo "非法请求：缺少验证头或密钥错误";
}

这种双重验证的方式安全性更高，即使IP被伪造，没有正确的密钥也无法通过验证。

小提示 #

• 不要把验证密钥硬编码在代码里，建议存在环境变量或者加密的配置文件中，防止泄露。
• 如果服务器在私有网络里，也可以直接用私有IP来验证，比公网DNS解析更稳定。

内容的提问来源于stack exchange，提问作者Z Thakker