,,

整理常見實現防盜鏈功能的方案

admin

2025年1月9日 10:6 本文熱度 281

在熱門平臺上有許多的熱點新聞，熱門的圖片、視頻等資源，每天都吸引大量的用戶觀看和下載。于是就有攻擊者通過爬蟲等一系列技術手段，把熱門平臺上的資源拉取到自己的網站然后呈現給用戶，從而攻擊者達到了即不用提供資源也能賺錢的目的，如下圖所示盜取資源的過程圖：

為此，熱門平臺為了防止其他的小站點盜取其資源，于是就使用防盜鏈來保護自身資源不被竊取。下面我們聊聊常見的幾種防盜鏈實現方案。

1、Nginx實現方案

在HTTP協議頭里有一個Referer的字段，Referer可以告訴服務器該網頁請求是從哪里鏈接過來的，如下的請求頭截圖：

那么可以利用請求頭上的Referer攜帶的值，使用Nginx在網關層做防盜鏈，這個也是最簡單的實現防盜鏈功能的方式之一。

Nginx通過攔截訪問資源的請求，通過valid_referers關鍵字定義的白名單，校驗請求頭中Referer地址是否為本站，如不是本站請求，那么就拒絕這個請求的訪問，Nginx的配置如下所示：

location ~*\.(gif|jpg|png|jpeg)$ {    root /web;    valid_referers none blocked www.longxiabiancheng.com;    if($invalid_referer){        return 403;    }}

Nginx的方式可以限制大多數普通的非法請求，但不能限制有針對性的攻擊請求，因為攻擊者可以通過偽造Referer信息來繞過Nginx的檢查。

2、SpringBoot的過濾器實現方案

過濾器同樣是使用Referer的原理，在SpringBoot中聲明一個過濾器，然后獲取到當前請求頭當中的Referer，如下代碼所示：

public class MyResourceFilter implements Filter {    @Override    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {        HttpServletRequest request = (HttpServletRequest) servletRequest;        HttpServletResponse response = (HttpServletResponse) servletResponse;        //獲取referer        String referer =request.getHeader("Referer");        //指定通過的域名        String allowedDomain = "https://www.longxiabiancheng.com";        //如果不是可以通過的域名，直接返回        if(StringUtils.isEmpty(referer) || !referer.startsWith(allowedDomain)){            response.getWriter().write("longxiabiancheng");            return;        }    }}

過濾器中通過比對Referer中的來源，如果它不是我們允許的來源，那么就直接拒絕請求。其實攻擊者依然可以偽裝Referer，所以還是無法徹底解決資源被盜取的問題。

3、token驗證的實現方案

用戶登錄之后服務器通過生成一個token，然后每次用戶請求后端都需要將token攜帶給服務器，如果請求中沒有token或者token解析失敗，就直接拒絕請求的訪問。

但是這種方式攻擊者依然可以通過先請求我們的登錄接口拿到token后，然后把token放在請求頭上，繼而達到偽裝成正常的用戶請求，這樣就繞過token驗證。

4、時間戳驗證方案

正常的用戶打開一個網頁之后總會停留一定的時間，即使此用戶停留的再短也會比其他的竊取工具（如爬蟲）停留的時間長，利用這個特點在每次響應客戶端的時候，后端給客戶端響應一個時間戳，然后前端攜帶這個時間戳請求后端接口，后端拿到時間戳后與當前的時間做比對，核心的代碼如下所示：

private boolean checkTime(HttpServletRequest request, HttpServletResponse response) {        //獲取時間戳        String timestampStr = request.getParameter("timestamp");
        try {            //時間戳不存在，直接拒絕訪問            if (timestampStr == null) {                response.getWriter().write("不可以繼續訪問哦");                return false;            }
            long timestamp = Long.parseLong(timestampStr);            long currentTimestamp = new Date().getTime();            //如果停留的時間大約指定的時間  就認為不是機器            if (Math.abs(currentTimestamp - timestamp) < 500) {                response.getWriter().write("不可以繼續訪問哦!");                return false;            }            return true;        } catch (Exception e) {            return false;        }    }

請求種的時間戳與當前的時間計算差值，如果差值大于設定的值，我們就認為是正常用戶的請求，反之認定為盜竊用戶請求，則拒絕訪問。時間戳的方式也存在一定的誤判，用戶可能確實就在網頁上停留很短的時間。

5、圖形驗證碼的實現方案

圖形驗證碼是一種比較常規的限制辦法，在下載資源，瀏覽關鍵信息的時候，都必須要求用戶手動操作驗證碼，典型的圖形驗證碼如下所示：

使用圖形驗證碼使得一般的爬蟲工具無法繞過校驗，從而起到保護資源的目的。

防盜鏈其實不是百分之百可以防住資源被盜竊的問題，它只能增加破解的難度，因為只要網站的數據能夠正常訪問，那攻擊者就能偽裝成正常用戶來竊取數據。在一些大公司中，他們會去結合大數據分析用戶的行為，將一些不正常的用戶行為定義到黑名單中，然后在黑名單上的用戶請求會被攔截。

該文章在 2025/1/9 10:06:21 編輯過

關鍵字查詢

實現

方案

功能

正在查詢...

點晴ERP是一款針對中小制造業的專業生產管理軟件系統,系統成熟度和易用性得到了國內大量中小企業的青睞。

點晴PMS碼頭管理系統主要針對港口碼頭集裝箱與散貨日常運作、調度、堆場、車隊、財務費用、相關報表等業務管理，結合碼頭的業務特點，圍繞調度、堆場作業而開發的。集技術的先進性、管理的有效性于一體，是物流碼頭及其他港口類企業的高效ERP管理信息系統。

點晴WMS倉儲管理系統提供了貨物產品管理,銷售管理,采購管理,倉儲管理,倉庫管理,保質期管理,貨位管理,庫位管理,生產管理,WMS管理系統,標簽打印,條形碼,二維碼管理,批號管理軟件。

點晴免費OA是一款軟件和通用服務都免費，不限功能、不限時間、不限用戶的免費OA協同辦公管理系統。

人妻夜夜爽天天爽三区丁香花-人妻夜夜爽天天爽三-人妻夜夜爽天天爽欧美色院-人妻夜夜爽天天爽免费视频-人妻夜夜爽天天爽-人妻夜夜爽天天

整理常見實現防盜鏈功能的方案