跨站集成验证：如何在Web2的C#代码中验证Web1请求域名？

嘿，这个场景我之前处理过，刚好可以给你梳理下靠谱的解决方案。你现在的问题是Web1通过前端跳转（window.location.href）到Web2，要在Web2的C#后端验证请求确实来自Web1对吧？因为Request.Url.Host只能拿到Web2自己的域名，所以得换个思路——利用浏览器跳转时带的Referer请求头来做验证，下面是具体的实现步骤和注意事项：

1. 核心逻辑：借助Referer请求头 #

当用户从Web1的页面点击按钮跳转到Web2时，浏览器会自动在请求里带上Referer头，这个头的值就是Web1跳转前页面的完整URL（比如http://Web1.com/home）。我们要做的就是在Web2的后端提取这个头，解析出域名，然后验证它是不是我们允许的Web1域名。

2. C#后端代码实现 #

在Web2的Test页面/接口的后端代码里，添加以下验证逻辑：

// 先定义允许的Web1域名列表，建议放到配置文件里（比如appsettings.json），方便后续修改
var allowedWeb1Domains = new List<string> { "Web1.com", "www.Web1.com" };

// 从请求头里获取Referer
var refererHeader = Request.Headers["Referer"].ToString();

if (!string.IsNullOrWhiteSpace(refererHeader))
{
    try
    {
        // 解析Referer的URL，提取域名部分
        var refererUri = new Uri(refererHeader);
        var refererHost = refererUri.Host;

        // 检查域名是否在允许列表里，用不区分大小写的比较避免域名大小写问题
        if (allowedWeb1Domains.Contains(refererHost, StringComparer.OrdinalIgnoreCase))
        {
            // 验证通过，继续处理你的业务逻辑
            // ... 这里写你原本的Test页面代码
        }
        else
        {
            // 来源域名不合法，返回403禁止访问
            Response.StatusCode = 403;
            return Content("Access Denied: You're coming from an unauthorized source.");
        }
    }
    catch (UriFormatException)
    {
        // Referer格式不对，可能是被篡改了，直接拒绝
        Response.StatusCode = 403;
        return Content("Access Denied: Invalid Referer format.");
    }
}
else
{
    // 没有Referer头，可能是用户直接输入URL访问，或者浏览器禁用了Referer
    // 这里可以根据你的业务需求决定：要么直接拒绝，要么做额外的验证（比如验证码）
    Response.StatusCode = 403;
    return Content("Access Denied: No valid Referer found.");
}

3. 关键注意事项 #

• Referer的局限性：要知道，有些浏览器或者用户可能会禁用Referer头，还有些代理服务器会修改甚至移除这个头。如果你的场景是涉及敏感操作（比如用户数据修改、支付等），单纯靠Referer就不够安全了，建议结合签名验证：
  • Web1在跳转前，从自己的后端生成一个带签名的临时token（比如用HMAC算法，把时间戳、用户标识等信息加上双方约定的密钥生成签名）
  • 跳转时把这个token作为参数拼到Web2的URL里：window.location.href = "http://Web2.com/Test?token=xxx"
  • Web2后端拿到token后，调用Web1的接口或者用相同的密钥验证签名的有效性，确保请求确实来自Web1
• 域名覆盖全面：记得把Web1的所有可能域名都加到允许列表里，比如带www和不带www的，还有测试环境的域名（如果有的话）
• 配置化管理：别把允许的域名硬编码在代码里，放到appsettings.json里，这样后续修改不用重新编译代码：

  {
    "AllowedWebOrigins": ["Web1.com", "www.Web1.com"]
  }
  

  然后在代码里通过配置读取：var allowedWeb1Domains = Configuration.GetSection("AllowedWebOrigins").Get<List<string>>();

4. 可选的前端优化方案 #

如果想让验证更可靠，也可以在Web1跳转时附加验证参数，比如：

$("#btn").click(async function() {
    // 先从Web1后端获取一个一次性的验证token
    const response = await fetch("/api/get-validation-token");
    const data = await response.json();
    // 跳转到Web2时带上token参数
    window.location.href = `http://Web2.com/Test?token=${data.token}`;
});

然后Web2后端需要和Web1后端交互，验证这个token是否有效。这种方式比单纯依赖Referer更安全，但需要两个系统之间做接口对接。

内容的提问来源于stack exchange，提问作者carl