针对伪造的数据从URL提交的情况，首先是一个检查前一页来源的如下代码：
<?/*PHP防止站外提交数据的方法*/
function CheckURL(){
$servername=$_SERVER['SERVER_NAME'];
$sub_from=$_SERVER["HTTP_REFERER"];
$sub_len=strlen($servername);
$checkfrom=substr($sub_from,7,$sub_len);
if($checkfrom!=$servername)die("警告！你正在从外部提交数据！请立即终止！");
}
?>
这个方法只能防止手动在浏览器地址
在PHP开发中，确保数据安全是一项至关重要的任务。伪造数据从URL提交是一种常见的攻击手段，攻击者可能会通过构造恶意URL来篡改或注入非法数据。本文将深入探讨如何防止这种情况的发生，并提供一些实用的方法。
提到的`CheckURL`函数是通过检查HTTP_REFERER头来判断请求是否来自预期的网站。`$_SERVER['SERVER_NAME']`获取当前服务器的域名，而`$_SERVER["HTTP_REFERER"]`则获取前一页的URL。如果这两个值不匹配，函数会输出警告并终止执行。然而，这种方法并不完全可靠，因为HTTP_REFERER头可以被用户代理禁用或者伪造，且在某些情况下可能为空。此外，如描述中所提，通过在其他网站创建指向目标URL的超链接，然后点击这些链接，此方法也无法阻止伪造的提交。
因此，单纯依赖HTTP_REFERER检查不足以防御伪造数据的提交。更安全的方式是采用POST请求来传递关键数据。POST请求的数据不会显示在URL中，从而减少了被篡改的风险。为了增加安全性，可以在表单中添加隐藏字段来传递数据，同时配合服务器端验证，以确保数据的完整性和一致性。
另一种策略是利用Ajax技术从客户端向服务器提交数据。Ajax允许异步通信，用户可以在不刷新页面的情况下与服务器进行交互。以下是一个简单的Ajax POST请求示例：
```javascript
function createXHR() {
if (window.XMLHttpRequest) {
var oHttp = new XMLHttpRequest();
return oHttp;
} else if (window.ActiveXObject) {
var versions = ["MSXML2.XmlHttp.6.0", "MSXML2.XmlHttp.3.0"];
for (var i = 0; i < versions.length; i++) {
try {
var oHttp = new ActiveXObject(versions[i]);
return oHttp;
} catch (error) {}
}
}
throw new Error("你的浏览器不支持AJAX！");
}
function ajaxPost(url, query_string = '') {
var xhr;
xhr = createXHR();
xhr.open('POST', url, false);
xhr.setRequestHeader("Content-Type", "application/x-www-form-urlencoded; charset=gb2312");
xhr.onreadystatechange = function() {
if (xhr.readyState == 4 && xhr.status != 200) return;
};
xhr.send(query_string);
}
```
在PHP服务器端，还需要对POST数据进行严格的验证和过滤。例如，可以使用`filter_var`函数检查输入的有效性，或者使用`htmlspecialchars`防止XSS跨站脚本攻击。此外，对于重要的操作，如数据修改或删除，可以采用令牌（Token）机制，确保每个请求的唯一性，防止重复提交。
除此之外，还可以考虑以下防御措施：
1. 使用HTTPS加密传输，防止数据在传输过程中被窃取。
2. 对敏感操作进行CSRF（Cross-Site Request Forgery，跨站请求伪造）防护，通常通过生成并验证CSRF令牌来实现。
3. 使用验证码系统，对于高风险操作，要求用户输入验证码以确认操作。
4. 对数据库查询进行参数化，避免SQL注入攻击。
防止伪造数据从URL提交涉及多方面的安全策略，包括但不限于使用POST请求、Ajax提交、服务器端验证、令牌机制、HTTPS加密以及防范其他Web安全威胁。在实际开发中，应结合具体情况采取相应的措施，确保应用的安全性。
