快捷導(dǎo)航

基于SpringBoot實(shí)現(xiàn)圖片防盜鏈的兩種方式

更新時(shí)間：2025年02月06日 09:49:23 作者：救救孩子把

出于安全和性能的考慮,我們希望服務(wù)器返回的圖片資源僅在指定網(wǎng)站內(nèi)展示,防止爬蟲或其它站點(diǎn)直接引用圖片地址進(jìn)行下載或展示,進(jìn)而消耗服務(wù)器資源,所以本文給大家介紹了基于SpringBoot實(shí)現(xiàn)圖片防盜鏈的兩種方式,需要的朋友可以參考下

1. 實(shí)現(xiàn)目的

出于安全和性能的考慮，我們希望服務(wù)器返回的圖片資源僅在指定網(wǎng)站內(nèi)展示，防止爬蟲或其它站點(diǎn)直接引用圖片地址進(jìn)行下載或展示，進(jìn)而消耗服務(wù)器資源。簡(jiǎn)單來(lái)說(shuō)，即在請(qǐng)求圖片時(shí)通過檢查 HTTP 請(qǐng)求頭中的 Referer 來(lái)判斷請(qǐng)求來(lái)源是否合法。

2. 簡(jiǎn)易實(shí)現(xiàn)方案

2.1 攔截器基本實(shí)現(xiàn)

在第一種方案中，代碼寫死了允許訪問的域名（例如 “baidudu.com”），主要步驟如下：

判斷 URL 后綴
當(dāng)請(qǐng)求 URL 以 “.jpg”、“.png”、“.jpeg” 等圖片格式結(jié)尾時(shí)，再進(jìn)行后續(xù)判斷。
檢查 Referer
從請(qǐng)求頭中取出 Referer，若不為空且包含預(yù)設(shè)允許的域名，則放行；否則返回 403 錯(cuò)誤碼，從而拒絕訪問。

例如：

public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    String requestUrl = request.getRequestURL().toString();
    if (requestUrl.endsWith(".jpg") || requestUrl.endsWith(".png") || requestUrl.endsWith(".jpeg")) {
        String referer = request.getHeader("Referer");
        if (referer != null && referer.contains("baidudu.com")) {
            return true;
        } else {
            response.sendError(HttpServletResponse.SC_FORBIDDEN);
            return false;
        }
    }
    return true;
}

注冊(cè)攔截器時(shí)，采用 Spring Boot 的 WebMvcConfigurer 接口將該攔截器應(yīng)用于所有請(qǐng)求路徑。

3. 靈活配置實(shí)現(xiàn)方案

為了使防盜鏈的配置更加靈活，可以將配置項(xiàng)（例如是否開啟防盜鏈、是否允許瀏覽器直接訪問、白名單域名等）寫在 application.yml 中，并利用配置類映射到 Java 對(duì)象中。

3.1 配置文件示例

在 application.yml 中定義如下配置：

img-protect:
  enabled: true
  allowBrowser: false
  allowReferer: baidudu.com

3.2 映射配置類

利用 @ConfigurationProperties 將配置項(xiàng)映射到 Java 類中，方便后續(xù)使用：

@Component
@ConfigurationProperties("img-protect")
public class ImgProtectConfig {
    private boolean enabled;
    private boolean allowBrowser;
    private String allowReferer;
    // getter/setter 略
}

3.3 攔截器實(shí)現(xiàn)細(xì)節(jié)

在新版攔截器中，通過注入上述配置類，實(shí)現(xiàn)如下邏輯：

若防盜鏈功能未開啟，則直接放行。
對(duì)圖片資源請(qǐng)求（通過 URL 后綴判斷）：
- 如果 Referer 為空且允許瀏覽器直接訪問（allowBrowser 為 true），則放行；
- 如果 Referer 不為空，則調(diào)用輔助方法判斷 Referer 是否包含配置中允許的域名（允許多個(gè)域名，逗號(hào)分隔）；
- 否則返回 403。

例如：

@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
    if (!imgProtectConfig.getEnabled()){
        return true;
    }
    String requestUrl = request.getRequestURL().toString();
    if (requestUrl.endsWith(".jpg") || requestUrl.endsWith(".png") || requestUrl.endsWith(".jpeg")) {
        String referer = request.getHeader("Referer");
        if (referer == null && imgProtectConfig.getAllowBrowser()){
            return true;
        } else if (referer != null && isAllowedDomain(referer)) {
            return true;
        } else {
            response.sendError(HttpServletResponse.SC_FORBIDDEN);
            return false;
        }
    }
    return true;
}

其中 isAllowedDomain 方法遍歷配置中允許的多個(gè)域名進(jìn)行比對(duì)。