Para mí, lo mejor sería permitir que la página se abra directamente. Los usuarios harán lo que hacen los usuarios.

Pero si no quiere hacer eso (o no puede hacerlo por alguna razón), lo primero que se le ocurre es hacer que JavaScript abra una ventana sin una URL (por ejemplo, about:blank ) y luego completarla ventana con el resultado de hacer una llamada ajax con un encabezado que no se configurará en una solicitud directa (a menos que alguien haga una solicitud directa con Postman o algo así, y preocuparse por eso probablemente sea excesivo). El PHP puede verificar el encabezado. Eso se parece a esto:

 function openUserConfig() { const win = window.open("about:blank", "User Config", "directories=no,titlebar=no,toolbar=no,location=no,status=no,menubar=no,scrollbars=no,resizable=no,width=350,height=450"); win.document.write("<em>Loading...</em>"); win.document.close(); fetch("@/@user-config.php", { headers: { "The-Header": "Header Value", } }) .then(response => { if (!response.ok) { throw new Error(`HTTP error ${response.status}`); } return response.text(); }) .then(html => { win.document.write(html); win.document.close(); }) .catch(() => { win.document.write("<strong>Error loading user config</strong>"); // Or whatever win.document.close(); }); }

Combinado con PHP para verificar el encabezado y devolver (por ejemplo) una respuesta 403 si no está allí.

Tenga en cuenta que el marcado del documento devuelto por @/@user-config.php también necesitará un elemento base para que las URL relativas en la página (para CSS, JavaScript, fuentes; enlaces en el texto) se resuelvan correctamente. (O haga que todas las URL en la página sean absolutas, o en línea todo).

Pero, de nuevo, preferiría convertirlo en algo que puedas abrir directamente si es posible.