У клиента есть услуга, требующая добавления небольшого фрагмента JavaScript на страницу клиента. В качестве маркетингового инструмента для демонстрации потенциальных клиентов я создал веб-приложение, которое демонстрирует, как страница клиента будет выглядеть с помощью javascript моего клиента. Это круто, и продавцам это нравится!
Приложение использует обратный прокси-сервер (mod_proxy), чтобы сайт клиента выглядел как находящийся в нашем домене, поэтому приложение может добавлять javascript без ограничений межсайтового скриптинга. Теперь он доступен только авторизованным пользователям.
Эта установка сработала хорошо - может быть, даже слишком хорошо! Теперь генеральный директор хочет сделать этот инструмент доступным для всех со своей домашней страницы. Но, как мы все знаем ...
Открытые обратные прокси почти всегда плохи.
Есть ли способ защитить его таким образом, чтобы это демонстрационное приложение стало возможным? Т.е. чтобы искалечить его так, чтобы сделать его бесполезным для спамеров и хакеров, но достаточно хорошим, чтобы показать несколько демонстрационных страниц потенциальным клиентам?
Некоторые идеи у меня были
Есть другие идеи, или это глупая затея?
Возможно, достаточно добавить HTTP-аутентификацию на ваш хост. Таким образом, ваш торговый представитель может легко показать демонстрационную страницу клиентам, но она должна быть недоступна для всех остальных.
Не забывайте использовать https, чтобы не повредить ухо.