PHP中实现IPv6地址的反向DNS解析与客户端身份验证

<?php

/**
 * 将IPv6地址转换为用于DNS PTR查询的nibble格式。
 *
 * @param string $ipv6Address 标准IPv6地址字符串。
 * @return string 转换后的nibble格式域名，或空字符串（如果输入无效）。
 */
function ipv6ToArpa($ipv6Address) {
    // 尝试标准化IPv6地址
    $packed = @inet_pton($ipv6Address);
    if ($packed === false) {
        return ''; // 无效IPv6地址
    }

    // 将16字节的二进制IPv6地址转换为32个十六进制字符
    $hex = bin2hex($packed);

    // 将十六进制字符串反转，并插入点分隔符
    $arpa = '';
    for ($i = 0; $i < 32; $i++) {
        $arpa = $hex[$i] . '.' . $arpa;
    }

    return rtrim($arpa, '.') . '.ip6.arpa';
}

/**
 * 对给定IP地址执行反向DNS查找（IP到域名）。
 * 支持IPv4和IPv6。
 *
 * @param string $ipAddress 要查找的IP地址。
 * @return string|null 查找到的域名，如果未找到则为null。
 */
function reverseDnsLookup($ipAddress) {
    if (filter_var($ipAddress, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
        // IPv4地址
        $reverseIp = implode('.', array_reverse(explode('.', $ipAddress))) . '.in-addr.arpa';
    } elseif (filter_var($ipAddress, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)) {
        // IPv6地址
        $reverseIp = ipv6ToArpa($ipAddress);
        if (empty($reverseIp)) {
            return null; // IPv6转换失败
        }
    } else {
        return null; // 无效IP地址
    }

    $records = @dns_get_record($reverseIp, DNS_PTR);

    if ($records && is_array($records)) {
        foreach ($records as $record) {
            if (isset($record['target'])) {
                return $record['target'];
            }
        }
    }
    return null;
}

// 示例用法
$ipv4 = '66.249.66.1'; // 示例Googlebot IPv4
$ipv6 = '2001:4860:4860::8888'; // 示例Google IPv6 DNS

echo "IPv4反向解析 {$ipv4}: " . (reverseDnsLookup($ipv4) ?? '未找到') . PHP_EOL;
echo "IPv6反向解析 {$ipv6}: " . (reverseDnsLookup($ipv6) ?? '未找到') . PHP_EOL;

?>

<?php

/**
 * 验证客户端IP是否为指定域名（及其子域）的有效来源。
 * 执行反向DNS查找，然后进行正向DNS验证。
 *
 * @param string $clientIp 客户端的IP地址。
 * @param array $allowedDomains 允许的域名列表（例如 ['google.com', 'googlebot.com']）。
 * @return bool 如果验证通过则返回true，否则返回false。
 */
function verifyClientIpDomain($clientIp, array $allowedDomains) {
    $hostname = reverseDnsLookup($clientIp);

    if (empty($hostname)) {
        return false; // 未能反向解析到域名
    }

    // 检查反向解析得到的域名是否在允许的域名列表中（或其子域）
    $isAllowedDomain = false;
    foreach ($allowedDomains as $domain) {
        if (str_ends_with($hostname, '.' . $domain) || $hostname === $domain) {
            $isAllowedDomain = true;
            break;
        }
    }

    if (!$isAllowedDomain) {
        return false; // 域名不匹配
    }

    // 执行正向DNS查找，验证域名是否解析回原始IP
    $resolvedIps = [];
    if (filter_var($clientIp, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4)) {
        $resolvedIps = @dns_get_record($hostname, DNS_A);
    } elseif (filter_var($clientIp, FILTER_VALIDATE_IP, FILTER_FLAG_IPV6)) {
        $resolvedIps = @dns_get_record($hostname, DNS_AAAA);
    }

    if ($resolvedIps) {
        foreach ($resolvedIps as $record) {
            if (isset($record['ip']) && $record['ip'] === $clientIp) {
                return true; // 正向解析匹配原始IP
            }
            if (isset($record['ipv6']) && $record['ipv6'] === $clientIp) {
                return true; // 正向解析匹配原始IP (for AAAA records)
            }
        }
    }

    return false; // 正向解析未匹配原始IP
}

// 示例：验证Googlebot
$googlebotIp4 = '66.249.66.1'; // 示例Googlebot IPv4
$googlebotIp6 = '2a00:1450:4003:801::200e'; // 示例Googlebot IPv6 (仅作演示，实际IP可能不同)
$allowedGoogleDomains = ['google.com', 'googlebot.com'];

echo "验证IP {$googlebotIp4} 是否为Googlebot: " . (verifyClientIpDomain($googlebotIp4, $allowedGoogleDomains) ? '是' : '否') . PHP_EOL;
echo "验证IP {$googlebotIp6} 是否为Googlebot: " . (verifyClientIpDomain($googlebotIp6, $allowedGoogleDomains) ? '是' : '否') . PHP_EOL;

// 假设一个非Googlebot IP
$someOtherIp = '1.1.1.1';
echo "验证IP {$someOtherIp} 是否为Googlebot: " . (verifyClientIpDomain($someOtherIp, $allowedGoogleDomains) ? '是' : '否') . PHP_EOL;

?>