PHP 限制頁面僅允許微信內建瀏覽器訪問的實作與安全性分析

為了防止 Web App 被複製，開發者常想限制只能在微信內開啟。本文提供基於 User-Agent 判斷的 PHP 實作，並深入分析其安全性缺陷與繞過手法，幫助開發者建立正確防護觀念。

基礎判斷邏輯

<?php
$userAgent = $_SERVER['HTTP_USER_AGENT'];
if (strpos($userAgent, 'MicroMessenger') === false) {
    exit('非微信瀏覽器禁止訪問');
}
echo '微信瀏覽器允許訪問';
?>

相容 Windows Phone 的改良版

<?php
$userAgent = addslashes($_SERVER['HTTP_USER_AGENT']);
if (strpos($userAgent, 'MicroMessenger') === false && 
    strpos($userAgent, 'Windows Phone') === false) {
    exit('非微信瀏覽器禁止訪問');
}
echo '微信瀏覽器允許訪問';
?>

核心安全性缺陷：User-Agent 可偽造

此防護機制屬於「誠實者防君子」層級，無法阻擋有心人士。

• 瀏覽器擴充套件（如 User-Agent Switcher）可輕鬆偽裝成微信 UA
• 爬蟲腳本可直接在 HTTP Header 注入 MicroMessenger 字串
• curl/wget 等工具可自訂 Header：curl -H "User-Agent: MicroMessenger" URL

輔助防護：JavaScript 雙重檢查

<script>
if (navigator.userAgent.indexOf('MicroMessenger') === -1) {
    document.body.innerHTML = '<div style="padding:20px;text-align:center;">請在微信中打開</div>';
}
</script>

但同樣可被禁用 JS 或偽造 DOM 繞過。

真正有效的防護策略

結論與建議

User-Agent 判斷僅適合「提示用戶請在微信開啟」等輕量級場景。涉及敏感資料、支付、授權等業務，必須採用微信官方 OAuth2.0 或 JSSDK 驗證機制，從源頭驗證請求合法性。