deonis Dec 9 2009 at 16:06

Закрываем доступ к сайту

1 min

4.6K

Website development*

-9

Comments 43

windoctor Dec 9 2009 at 16:14

А зачем такие извращения? Я делаю проще, открываю сайт для нужных IP адресов и всё, никаких ключей и кук.

danilissimus Dec 9 2009 at 16:14

а если IP динамический?

windoctor Dec 9 2009 at 16:19

Эм, честно говоря, в большинстве случаев, компании имеют статический IP адрес.
Но если IP динамический, то да, можно и такой вариант применить (:

danilissimus Dec 9 2009 at 16:21

а кто сказал, что разрабатывают сайты только компании?

windoctor Dec 9 2009 at 16:28

Возможно это мои иллюзии, но студии разрабатывают сайты именно для компаний и «физики» как правило не обращаются, хотя, возможно я опять заблуждаюсь (:
Суть такова:
Каждому по потребностям.

В моём случае достаточно проверки по IP, в вашем этого не достаточно и ваше решение, как временное, вполне применимо.

Artur Dec 9 2009 at 21:54

Т.е. узнаете все возможные IP принимающих решения в компании, включая их динамические подключения с ноутбуков, домашние, а возможно и IP их друзей?

windoctor Dec 10 2009 at 11:24

Нет, мне узнавать незачем, сами расскажут ;)

Cougar Dec 10 2009 at 12:14

Ну да, присылает манагер/CEO гневное письмо вида «Йапонамать, почему сайт не работает?!?!11адинадин».
А потом посредством просмотра RFC-822 хидеров узнаем айпи отправившего и открываем ему доступ. :)

Это даже автоматизировать можно, и даже несложно :)

windoctor Dec 10 2009 at 12:25

Хм, как мне известно и проверено на практике, как правило у всех сотрудников в офисе один IP адрес.
Не вижу смысла продолжать дискуссию, всё равно все останутся при своём мнении (:

TheTony Dec 9 2009 at 16:19

а по моему неплохой вариант, только (Я понимаю. что это не система безопасности, а так, «штора»):
а) надо следить за «доверенной» ссылкой
б) надо чтобы именно эту куку не знали те, кто сайт видеть не должен (вроде того, что разных сайтов-разные куки)

deonis Dec 9 2009 at 16:22

Да, это временная «шторка», а ключ и значение куки специально вынесены в переменные, чтобы их можно было менять от обновления к обновлению и от проекта к проекту.

Mithgol Dec 9 2009 at 16:24

А не проще ли тогда гиперссылку, ведущую на новый сайт (или на обновлённый функционал), никому не давать? Уровень защиты тот же, а возиться меньше.

deonis Dec 9 2009 at 16:26

«или на обновлённый функционал»

это как? Если на сайт постоянно заходят посетители?

itspoma Dec 9 2009 at 16:28

.htaccess? Allow \ Deny

з.ы.:
$AdminCookie = 'HOHOHO! I am super hacker!';
А у Вас все админы ханкеры?)

deonis Dec 9 2009 at 16:29

нет, у нас люди с чувством юмора

itspoma Dec 9 2009 at 16:35

как по мне, так лучше:

<?php
   $allow = '12.34.56.78';
   if (!substr($_SERVER['REMOTE_ADDR'],0,strlen($allow)) == $allow) {
       // вот это кусок скрипта для пользователей
       require_once 'page_park.html';
       die;
   }
   // а все, что будет дальше происходить - для администраторов
?>

deonis Dec 9 2009 at 16:41

если вам хочется тратить время на выяснение IP пользователей, которым надо дать доступ к сайту и вписывать их сюда, то не проблема, можно и такой вариант использовать ;)

itspoma Dec 9 2009 at 20:17

мой способ с ip-адресами такой же оригинальный, как и тс с куками

Elvis_the_King Dec 9 2009 at 16:59

у вас не индийские корни случаем? =)

xadminx Dec 9 2009 at 17:49

О родстве славян с индусами

smoked Dec 9 2009 at 16:28

А если на сайте дофига ссылок, где нужно все тестить, этот «i-want-to-see-this-site», необходимо каждый раз в строку подставлять?

deonis Dec 9 2009 at 16:31

зачем? в куку сохранился флаг, что вы уже вызывали ключ и его больше не надо вызывать

smoked Dec 9 2009 at 16:36

это у вас полный кусок кода который проверят или нет?

if ($_COOKIE['AdminCookie'] != $AdminCookie && $_SERVER['QUERY_STRING'] != $SecretKey)
По данному условию должно быть все равно и куки и секреткей, если они не равны, то мы ничего не показываем,
иначе мы пишем в куку переменную и опять проверяем

if ($_SERVER['QUERY_STRING'] == $SecretKey)

и опять тут секреткей который нужен в URL

или я что-то не так понял…

deonis Dec 9 2009 at 16:38

что-то не так

Gero Dec 9 2009 at 16:29

ru.wikipedia.org/wiki/.htpasswd

itspoma Dec 9 2009 at 16:31

.htpasswd не подходит,
т.к. в конкретном случае надо скрыть главную страницу,
и админам показывать одну, а пользователям другую.
а htpasswd ограничивает доступ для всех

deonis Dec 9 2009 at 16:32

чтобы на работающем сайте вместо парковой страницы выскочил запрос на авторизацию?

Bonzo Dec 9 2009 at 16:40

Я не спец конечно, а простая связка .htaccess + .htpasswd?

MiXei4 Dec 9 2009 at 16:47

Делаю по сути так же, только у меня строку $SecretKey не обязательно вводить на главной странице. example.com/path/?$SecretKey — так тоже работает.
Плюс есть SecretKey2 — строка, при вводе которой кука удаляется, и можно чувствовать себя обычным пользователем — убедиться что сайт реально закрыт.

deonis Dec 9 2009 at 16:49

"$SecretKey не обязательно вводить на главной странице"

у нас тоже самое, как я писал в посте внедряется этот код или в библиотеку, которая вызывается со всем страниц, либо в index.php файл, который с помощью модреврайта на себя все принимает.

MiXei4 Dec 9 2009 at 16:56

Точно.
Мне почему то показалось, что в коде вместо QUERY_STRING что-то типа REQUEST_URI. Короче недосмотрел :)

unicast Dec 9 2009 at 16:48

Этот вариант ещё хорошо применять, когда есть 2 версии сайта.
Первая эксплуатируется, а вторая тестовая — показывать заказчиками новые фичи. Мы долго думали как лучше это сделать, в итоге тоже к куке пришли.

IntenT Dec 9 2009 at 17:31

в свое время делал подобную ерунду…
только немного по другой схеме.

есть отдельная страница авторизации, которая проверяет введенный логин-пароль.
если пароль и логин верный — ставим куку

на страницах сайта проверяем. если стоит кука — показать то что запросили, если нет — показываем заглушку.

Sk1nt Dec 9 2009 at 19:10

а сделать ещё одну точку входа (какой-то __index.php) и писать в сессию параметр, потом просто проверять его наличие. Есть — показываем страничку… Нету — - до свидания, сайт на реконструкции… Врядли у кто-то из пользователей будет перебирать имена файлов… Да и смысла нету…

bio Dec 9 2009 at 20:47

Забыли установить для cookies HttpOnly, хакеры не дремлют :)

deonis Dec 9 2009 at 21:04

спасибо, единственный дельный совет из всего многообразия постов :)

Artur Dec 9 2009 at 21:59

Все простое — гениально, а гениальное — просто.

Хороший толковый пример и решение для описанной ситуации. Комментарии жаль удивили. Похоже комментировали либо те, кто слабо отрезает или просто по-жизни любит поспорить :)

kerrygun Dec 9 2009 at 22:23

жесть какая…

Nail13 Dec 9 2009 at 22:38

Буквально недавно озадачился такой же проблемой, и (о чудо!) пришел точь-в-точь к такому же решению.
Мое отличие заключается в том, что я вынес код проверки секретного урла, куков и перенаправления в .htaccess:

RewriteCond %{HTTP_COOKIE} !hash276819937ee81772017638837ab49992heef78=true [NC]
RewriteCond %{QUERY_STRING} (i-want-to-see-this-site)
RewriteRule .+ setcookie.php?%1 [L]

RewriteCond %{HTTP_COOKIE} !hash276819937ee81772017638837ab49992heef78=true [NC]
RewriteRule .+ index.html [L]

RewriteRule .+ index.php

leonid-lapidus Dec 10 2009 at 10:06

довольно простое (в хорошем смысле слова) решение. вполне подойдёт для небольших студий, фрилансеров и т.п.
Мы исповедуем религию, предложенную в RoR: есть продакш система — для конечных пользователей, есть девелопмент система — для разработки, есть тест-система — как раз для того, чтобы показать. Если нужно, то БД просто копируются из продакшн в тест или в девелопмент системы — и все счастливы: сайты никогда не лежат.

mshakhan Dec 10 2009 at 13:57

Я может что-то не понимаю, но Basic Http Authentication разве не для этого придумали?

LifeMedia Dec 12 2009 at 00:58

столько кода когда можно просто индексным файлом который открывается первым
по умолчанию оставить index2.php (html, htm).
А вторым в очереди стандартным index.php.
Когда надо что-то потестить загружате index2.php (к примеру) и все будет прекрасно.
Для пользователей сайт временно не будет существовать.

zooh Dec 23 2009 at 15:55

Я обычно отладку такого рода вывожу на поддомен или в подпапку, и то и другое прекрасно паролится через .htaccess. Но способ имеет право на жизнь, безусловно.