CUR:如何从技术上“绞杀”盗链者？

作者|阿文

责编|郭芮

很多站长都会遇到一个很头疼的问题，那就是自己网站的资源经常被盗用，有文字、图片、视频、和二进制或压缩文件，这些资源被盗用后除了导致网站流量丢失之外、还会带来一些经济上的损失。

除了相关法律，例如《中华人民共和国著作权法》可以使版权或著作权所有者通过法律途径来约束和限制一些未经授权非法使用网站多媒体资源，我们还可以通过一些技术手段来约束访问者，使其无法随意盗取相关资源，下面我们就介绍下网站常用的防盗措施和其优势和劣势。

User-agent防盗

Terra 2.0 社区已启动就有关如何分配 0.5% 应急资金提案的投票:6月9日消息，Terra 2.0 社区已启动就有关如何分配 0.5% 应急资金提案的投票，该提案建议将这部分资金分配给在 Terra Classic 上推出过符合市场需求的产品，包括产生了一定量的 TVL 和没有产生 TVL 的项目以及尚未推出过符合市场需求产品的项目，并提议向以上三类项目分别分配 250 万枚 LUNA、100 万枚 LUNA 和 150 万枚 LUNA。此外，该提案建议组件一个由部分 Terra 社区的长期成员组成的理事会监督分配工作。[2022/6/9 4:13:09]

User-Agent首部包含了一个特征字符串，用来让网络协议的对端来识别发起请求的用户代理软件的应用类型、操作系统、软件开发商以及版本号。不同的浏览器客户端都会携带自己的user-agent，例如Chrome浏览器的user-agent是：

现场 | 火币集团COO朱嘉伟：区块链是解决三个和尚如何打水的问题:金色财经现场报道，百度智能云Techday11月21日在北京举行。火币集团COO朱嘉伟在会上表示，区块链技术和其他多数技术很不一样，多数技术是解决一个和尚如何打水的问题区块链是解决三个和尚如何打水的问题，因此区块链适用于多方协同的场景，可以促进数据共享、优化业务流程、降低运营成本、提升协同效率以及建设可信体系。[2019/11/21]

user-agent:Mozilla/5

但是这种办法并不能完全禁止掉一些请求，因为user-agent是客户定义的，以curl为例，如下所示。通过-H指定user-agent的请求头信息，如果对方恰好指定你的黑名单规则，则可以很轻松的绕过限制。

声音 | 奥斯汀市雇员退休制度CIO：应关注加密资产如何适应现有的投资组合:据coindesk消息，今日在彭博社举办的Institutional Crypto会议上，美国德州奥斯汀市雇员退休制度首席投资官（CIO）David Veal表示：“我不确定加密资产是否需要被定位为可替代资产，我们应该看看它如何适应现有的投资组合。加密资产可以通过使如此多事物获得流动性来消除非流动性。我们的投资组合多样化正慢慢受到侵蚀，而加密可以带来回报。”[2018/10/16]

curl-H"User-Agent:xxxx"

referer防盗链

Referer首部包含了当前请求页面的来源页面的地址，即表示当前页面是通过此来源页面里的链接进入的。如下所示的requestheaders中，其referer为https://www

但是这种办法也并不能完全禁止掉一些域名请求，因为referer客户也是可以自定义的。以curl为例，如下所示，通过-H指定referer:XXXXX的请求头信息，就可以很轻松的绕过限制。

curl-H"referer:http://www.baidu.com"

IP防盗链

顾名思义，即对指定IP或IP段进行限制访问。例如一些爬虫经常频繁爬取网站资源，我们可以对其IP进行限制。

以nginx为例，nginx的ngxhttpaccess_module模块可以用来设置允许/禁止哪些IP或IP段访问：

allow1.1.1.1/24#允许IP段访问

denyall#禁止所有IP访问

token防盗链

上述的三种原生HTTP首部字段都能防止用户随意盗取资源，但是其劣势相当明显，比如都极容易被伪造。

以nginx为例安装secure_link模块，默认是没有安装的，要使用这个模块必须在编译时指定下列编译参数：

--with-http_secure_link_module

securelink防盗链原理：

用户访问资源；

服务器根据secret密钥、过期时间、文件uri生成加密串；

将加密串与过期时间作为参数跟到文件下载地址的后面；

nginx下载服务器接收到了过期时间，也使用过期时间、配置里密钥、文件uri生成加密串；

将用户传进来的加密串与自己生成的加密串进行对比，一致允许下载，不一致403。

具体的配置和使用可以参考https://nginx.org/en/docs/http/ngxhttpsecurelinkmodule.html。

当然除了这种方式，你也可以使用nginxlua来自行实现一些自定义的防盗链措施。

标签：HTTGENTCURAGENhttps://etherscan.ioAGENTSHIBAINU币CurveParagen

币安币热门资讯