验证HTTP请求的源

我有两个系统需要通话。系统设置如下:

System A ,在Google应用引擎(GAE)上运行django(python 2.5)

System B ,通过lighttpd在Ubuntu/Linux上运行django(python 2.6)(可能是nginx,稍后)

系统A将定期使用 Url Fetch .

系统B有一个Django应用程序设置,通过 urls.py 比如:

urlpatterns = patterns('producer.views',
    url(r'^requisition$', 'requisition', name='requisition'),
)

和相应的 views.py 比如:

import json
from django.http import HttpResponse

def requisition(request):
    " do something "
    response = HttpResponse()
    response['Content-type'] = 'application/json'
    response.write(json.dumps(...))
    return response

如果系统B只响应系统A的请求,这将是对系统安全性的一个有价值的补充。

我想知道系统B可以使用哪些选项来验证请求是否来自系统A。我考虑了以下事项:

• 检查IP地址是否来自GAE(但是我不知道GAE IP地址,它们可能会更改,并且可能被欺骗)
• 检查IP的反向DNS是否来自GAE(但是我不知道GAE的DNS条目是什么,如果它们会更改,那么它们可能会被欺骗)
• 使用来自系统A的TLS客户端证书-但我不知道如何使用GAE执行此操作
• 根据共享的内容(如盐)进行挑战/响应 pycrypto

理想情况下,我想以 VIEW 比如说:

... 
from django.http import HttpResponseForbidden 

def requisition(request):
   " do something "
  if not verify_request_origin():
     return HttpResponseForbidden("Denied.")

  response = HttpResponse()
  ...

其中verify_request_origin()在向 系统B 来自于 系统A 在盖伊。

谢谢你,我期待听到你的想法。