请教一个连AI也不能帮我的问题，关于源码产品授权的逻辑

问答 / 420 / 24 / 创建于 5天前 / 更新于 5天前

我使用 laravel 全家桶开发了一个产品，叫A。没有使用前后端分离。

这个产品是开源的，也就是说代码无加密。但是收费的。

产品提供给那些付费付费购买过的客户，在自己的服务器上进行私有部署。

每次产品更新的时候，我需要让客户服务器上的站点，可以自己进行手动点击按钮进行升级。

升级的逻辑没问题了。但是现在卡在，更新鉴权这一步了。

怎么鉴权？

我的需求是：需要通过授权网址和服务器IP进行更新判断。

客户部署的站点，通过laravel 发送请求的。

Http::post('http://scrm.test/api/xxxx');

麻烦事：

1，由于前后端不分离，在服务端与服务端的请求中，这些头信息不会自动生成。所以referer和origin这些头信息是不存在的。拿不到。

2，即使让客户在发送请求的时候，携带网址这个参数，但因为代码是开源的，这个参数可以被人为修改。

所以请教一下大家，应该怎么进行鉴权呢？

我的需求

1，盗版即使修改请求参数，比如手动在代码中修改请求时候的域名和 ip，也无效。
2，即使被盗版，我也能通过请求数据，能方便的查出来盗版源，或者盗版安装域名。
3，完全防盗不可能。只是尽可能在技术层面做一些限制。让盗版不方便。最终即使被盗版，也能追溯和定位。
4，不想做前后端分离。

乌鸦嘴新手社区 wyz.xyz 为技术新手提供服务

cevin

297 声望

最佳答案

请求的ip是无法伪造的。

请求带上授权域名、授权号。授权域名+ip+授权号不匹配直接报错就行了啊。服务器IP哪里有天天变的。

4天前评论

shebaoting （楼主）

$request->ip() 这种方式获取的请求 ip 。如果对方在请求的时候，在网址手动携带一个 ip 参数，是不是就可以伪造了？因为更新是通过Http::get('xxx.test/update') 发送请求的。服务端对服务端的请求，手动携带一个伪造的 ip 参数。 $request->ip() 是不是就不能获取到真实的请求 ip了？

轻语过往

@shebaoting $_SERVER['REMOTE_ADDR'],$_SERVER['HTTP_X_FORWARDED_FOR '],$_SERVER['HTTP_VIA'] 这三个足够你获取请求ip了

@轻语过往谢谢大神。我试试看。

讨论数量: 24

Imuyu

课程读者 799 声望

客户增加秘钥，每个客户不同，请求和响应都使用秘钥加密，这样就能避免客户修改请求和参数，同时可以再关键领域代码加密，无法修改核心代码，缺失核心代码确保无法使用~

部分客户如果买了正版，但是把自己的密钥分享给别人呢？

Imuyu （作者）

@shebaoting 还有IP呢，而且而且关键部分代码加密，修改不了，即使修改了，返回数据他也用不了，想要用还是有点麻烦的~

@Imuyu 如果对方在请求的时候，在网址手动携带一个 ip 参数，是不是就可以伪造了？

滚球兽进化

@shebaoting 。。。。让你检查请求方真正的ip，不是网址手动填写的ip。

@滚球兽进化对，而且伪造IP极其复杂，及时伪造了也无法完成tcp握手，能伪造成功还能握手接受信息，我觉得他没必要破解你的系统了~

Coolr

@shebaoting 单独部署IP一般是固定的吧！他吧秘钥拿个其他人，你记录一下每个秘钥的IP 做个限制，比如一个秘钥只能绑定2个或3个IP 多了鉴权就不过

@Imuyu 我以为在参数上手动携带一个参数 ip 。最终会替换掉$request->ip() 获取到的 ip。是我弱智了。谢谢大神

sanders

课程读者 424 声望 / 程序员鼓励师 @ KDD

搭个 docker 镜像仓库，卖账号给他们，每个人一个镜像，代码做加密，在中间件里判断域名。

暂时不想做代码加密。

小猪蹄子

197 声望

鉴权可以套用微信公众号用户信息的解密，部署的时候客户那边发一个私钥加密请求，然后你解密内容之后，再和你更新授权服务数据库中记录的客户数据匹配再返回

Asuna

课程读者 54 声望

域名授权，启动代码加密校验域名，貌似那种cms就是这样做的收集数据

yonghuming945

课程读者 9 声望

我有一个不成熟的想法，就是做一个授权码，只能用一次，用的时候会返回一个新的授权码，授权码生成时带上此次更新的版本信息然后加密，如果有人要更新的时候授权码解密后版本信息不等于当前版本信息不允许更新

lchola

课程读者 150 声望 / -- @ --

可不可以讲一讲伪造ip的思路,或者你获取对方ip的代码,我想学习一下

xiaochong0302

187 声望 / 首席音效师 @ 深圳市酷瓜软件有限公司

你给源码就一切都白给，但也不是无解。给你一个参考思路，我们的产品酷瓜云课堂，有开源版也有企业版（业务代码都没有做任何加密），我们也是基于域名或者IP授权的（可以按时间，也可以按注册人数），我们使用的是Phalcon框架（C扩展框架），我们对框架做了一些改造，把授权校验加进去了，你可以往这个方向上想想办法（写一个PHP扩展，让业务依赖这个扩展，把授权放校验进去）。

谢谢大神。

陈先生

课程读者 628 声望 / 慢就业指挥官 @ 灵活就业规划中心

一般来说，我会把核心组件做成 composer 的包，使用 Provider 来完成验证授权的行为。

zzzzzq

课程读者 6 声望

ip伪造成本不高，通过ip无法完全限制，你可以多加些条件。有种情况是以购买正版软件的服务器当代理，可以绕过大部分限制。目前常用解决方案：1、是加APPID和APPKEY，

2天前评论

zzzzzq （作者）

2、加Ip白名单；3、限制同版本更新次数；

slince

153 声望

细说升级是怎么做的； :joy:

讨论应以学习和精进为目的。请勿发布不友善或者负能量的内容，与人为善，比聪明更重要！

帮助

请教一个连AI也不能帮我的问题，关于源码产品授权的逻辑

怎么鉴权？

麻烦事：

我的需求

推荐文章：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

请教一个连AI也不能帮我的问题，关于源码产品授权的逻辑

怎么鉴权？

麻烦事：

我的需求

推荐文章：

社区赞助商

关于 LearnKu

资源推荐

服务提供商

其他信息

请登录