La domanda è molto semplice: posso fidarmi del valore dell'intestazione Host?
Stiamo sviluppando un'applicazione che serve alcune risorse via HTTP e non desideriamo avere alcuni servizi privati e altri pubblici.
Abbiamo domini interni come "backoffice.xxxx.com" ai quali è possibile accedere solo internamente e abbiamo altri domini a cui è possibile accedere da qualsiasi luogo.
Per essere più specifici, questo caso riguarda un'applicazione che serve le immagini. Quindi possiamo avere un percorso come "/ pictures / xxxx" tramite GET e serve l'immagine con quell'ID a chiunque voglia vederla. Ma abbiamo anche mappato il percorso "/ pictures" via POST per caricare nuove immagini e non vogliamo che nessuno possa caricare immagini.
Ciò che pensiamo è che possiamo utilizzare l'intestazione Host per convalidare la richiesta e negare a coloro che provengono da domini pubblici (o semplicemente consentire domini interni e negare qualsiasi altro).
Quali altre opzioni abbiamo per convalidare queste richieste? (Se l'intestazione dell'Host non è abbastanza sicura).