防止搜索引擎爬虫滥用：通过HTTP方法安全管理网站敏感操作-php教程-PHP中文网

防止搜索引擎爬虫滥用：通过HTTP方法安全管理网站敏感操作

花韻仙語

发布： 2025-11-07 11:54:07

原创

274人浏览过

防止搜索引擎爬虫滥用：通过HTTP方法安全管理网站敏感操作

本教程旨在解决搜索引擎爬虫（如bingbot）因访问网站敏感页面而触发非预期操作（如重复发送邮件）的问题。核心在于理解http请求方法的安全语义，并指导开发者将涉及状态变更的操作（如发送邮件）从不安全的get请求迁移至安全的post请求，从而有效阻止爬虫的误触发，并提升网站操作的健壮性与安全性。

理解HTTP请求方法与安全语义

搜索引擎爬虫（如Bingbot）通过发送HTTP请求来抓取网站内容。它们通常会使用GET请求来访问页面。然而，当网站的某些页面被设计为在GET请求时执行敏感操作，例如发送电子邮件或修改数据库状态，就可能导致爬虫意外触发这些操作，从而引发问题。

根据HTTP协议的定义（RFC7231, Section 4.2.1），请求方法被分为“安全方法”和“非安全方法”。

安全方法（Safe Methods）：这些方法的语义本质上是只读的，即客户端不期望且不应导致源服务器上的任何状态更改。例如，GET、HEAD、OPTIONS和TRACE方法被定义为安全方法。合理使用安全方法不应导致任何损害、财产损失或对源服务器造成异常负担。
非安全方法（Unsafe Methods）：这些方法可能导致服务器状态发生改变。例如，POST、PUT、DELETE等方法通常用于创建、更新或删除资源。

当您的网站在响应GET请求时发送电子邮件，这明显违反了GET方法的“只读”语义。搜索引擎爬虫在抓取页面时，会无差别地发送GET请求，如果这些请求触发了邮件发送，就会造成邮件被反复发送的问题。

解决方案：强制使用POST请求进行敏感操作

解决此问题的根本方法是确保涉及状态变更或敏感操作（如发送邮件、提交表单、修改数据）的页面或API端点只响应非安全方法，即POST请求。

1. 修改服务器端逻辑

将触发邮件发送的逻辑从GET请求的处理器中移除，并将其绑定到POST请求。这意味着当服务器收到对该页面的GET请求时，它不应该执行邮件发送操作，而当收到POST请求时才执行。

伪代码示例：

纳米搜索

纳米搜索：360推出的新一代AI搜索引擎

查看详情

// 假设这是处理邮件发送的端点逻辑
function handleEmailTriggerRequest(request) {
    // 检查请求方法
    if (request.method === 'POST') {
        // 只有当请求方法是POST时，才执行发送邮件的逻辑
        sendEmailToEmployees();
        response.status(200).send('Email sent successfully.');
    } else {
        // 对于GET请求或任何其他非POST请求，不执行敏感操作
        // 可以返回一个表单页面，或者一个错误信息，例如“方法不允许”
        response.status(405).send('Method Not Allowed. Please use POST to trigger this action.');
    }
}

登录后复制

2. 更新客户端交互方式

如果您的网站内部有其他页面或脚本会调用这个触发邮件发送的端点，您需要确保这些调用也从GET请求改为POST请求。这通常意味着：

如果通过HTML表单触发，确保表单的method属性设置为POST。
如果通过JavaScript（如Ajax）触发，确保fetch或XMLHttpRequest的请求方法设置为POST。

HTML表单示例：

<form action="/send-email-page" method="POST">
    <!-- 表单字段 -->
    <input type="submit" value="Send Email">
</form>

登录后复制

JavaScript (Fetch API) 示例：

fetch('/send-email-page', {
    method: 'POST',
    headers: {
        'Content-Type': 'application/json',
    },
    body: JSON.stringify({ /* 任何需要发送的数据 */ })
})
.then(response => response.json())
.then(data => console.log(data))
.catch(error => console.error('Error:', error));

登录后复制