仅允许来自域的请求并阻止其他来源

我想允许某些路由仅响应我的前端网站发出的请求，这意味着出于安全原因阻止其他来源（例如邮递员）并仅允许来自前端域的请求。

是否可以？

例如，我有一个网页来检查链接的动态值并验证链接上的令牌是否在数据库中，我可以考虑添加验证码，这样机器人就无法检查所有可能的组合，但这不是 100%安全的。

Laravel API 节流

如果您的主要问题是机器人获取所有组合，那么节流中间件除了使用验证码之外，还会帮助您实现这一点。

默认情况下，您的所有 API 路由（在routes/api.php) 每个 IP 每分钟最多允许 60 个请求。您可以根据自己的需要修改此金额app/Http/Kernel.php通过更改文件throttle:api部分：

/**
 * The application's route middleware groups.
 *
 * @var array
 */
protected $middlewareGroups = [
    'web' => [
        \App\Http\Middleware\EncryptCookies::class,
        \Illuminate\Cookie\Middleware\AddQueuedCookiesToResponse::class,
        \Illuminate\Session\Middleware\StartSession::class,
        // \Illuminate\Session\Middleware\AuthenticateSession::class,
        \Illuminate\View\Middleware\ShareErrorsFromSession::class,
        \App\Http\Middleware\VerifyCsrfToken::class,
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],

    'api' => [
        'throttle:api',
        \Illuminate\Routing\Middleware\SubstituteBindings::class,
    ],
];

将其更改为throttle:30:1例如，这意味着您将允许每个 ip 每分钟 30 个请求。

如果您只想限制 api 上的某些路由，则可以在其他地方使用中间件：

Route::get('my-method', MyController::class)->middleware('throttle:30:1');

创建一个限制主机的中间件

如果您想按域精确限制，您正在寻找的可能是自定义中间件。中间件允许您检查各种请求属性（包括通过$request->getHost()）并阻止任何控制器或方法。

虽然 Laravel 默认TrustHosts中间件提供全局主机验证，您可以为特定路径创建自己的自定义中间件，如下所示：

<?php

namespace App\Http\Middleware;

use Closure;
use Illuminate\Http\Request;

class LocalOnly
{
    /**
     * Handle an incoming request.
     *
     * @param  \Illuminate\Http\Request  $request
     * @param  \Closure  $next
     * @return mixed
     */
    public function handle(Request $request, Closure $next)
    {
        if($request->getHost() != 'localhost')
        {
            return response('', 400);
        }
        
        return $next($request);
    }
}

注意：如果您要创建新的中间件，则需要注册它们。 Laravel 有自己的指南here.

在此示例中，当在任何路由上使用时，Laravel 将拒绝除localhost（所以即使127.0.0.1会被拒绝）

就我个人而言，我不建议这样做，因为内置节流是一个更优雅的解决方案，但如果您确实需要这样做，就这样做吧。