可以透過 http header 或 js 限制