快捷導(dǎo)航

Nginx實現(xiàn)防盜鏈的多種方式

更新時間：2025年01月16日 09:10:45 作者：薛偉同學(xué)

防盜鏈指的是防止其他網(wǎng)站未經(jīng)許可直接引用你的資源（如圖片、音視頻文件、文檔等）,這樣做不僅能有效節(jié)約帶寬,還能防止未經(jīng)授權(quán)的內(nèi)容被濫用,本文給大家介紹了Nginx實現(xiàn)防盜鏈的多種方式,需要的朋友可以參考下

什么是防盜鏈

防盜鏈指的是防止其他網(wǎng)站未經(jīng)許可直接引用你的資源（如圖片、音視頻文件、文檔等）。這樣做不僅能有效節(jié)約帶寬，還能防止未經(jīng)授權(quán)的內(nèi)容被濫用。最常見的防盜鏈技術(shù)就是通過檢查請求的Referer頭部，判斷請求的來源是否合法。

Nginx 防盜鏈的基本原理

防盜鏈的原理通常是根據(jù)請求的 HTTP Referer 頭 來判斷請求是否來自授權(quán)域名。如果請求是從非授權(quán)的域名發(fā)起的，Nginx 可以拒絕該請求。具體的防盜鏈實現(xiàn)方式有多種，常見的是基于 Referer 和 IP 地址進行限制。

基于 Referer 頭的防盜鏈

Referer 頭是瀏覽器在發(fā)起 HTTP 請求時自動添加的字段，指示當(dāng)前請求是從哪個頁面跳轉(zhuǎn)過來的。防盜鏈的基本做法是，只有從自己的網(wǎng)站或者授權(quán)的域名發(fā)送的請求才能正常訪問資源，其他來源的請求會被拒絕。

基本配置

以下是一個基于 Referer 頭的簡單防盜鏈配置：

server {
    listen 80;
    server_name example.com;

    location ~* \.(jpg|jpeg|png|gif|bmp|webp|mp4)$ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;  # 非授權(quán)的 Referer，返回 403 錯誤
        }
    }
}

配置解釋：

valid_referers：指定允許訪問資源的 Referer 域名或 IP 地址。
- none：表示沒有 Referer 字段的請求（例如，直接通過書簽訪問）。
- blocked：表示 Referer 字段為空或者包含非法字符的請求。
- example.com：表示允許來自 example.com 的請求。
- *.example.com：表示允許來自 example.com 子域名的請求。
if ($invalid_referer)：如果請求的 Referer 不符合上面的規(guī)則，Nginx 會返回 403 錯誤，拒絕請求。

案例：保護圖片資源

假設(shè)你的圖片資源存放在 /var/www/example.com/images/ 目錄下，你希望只有來自你自己網(wǎng)站（如 example.com）的請求能訪問這些圖片。其他域名（如盜鏈的第三方網(wǎng)站）訪問時會返回 403 錯誤。

server {
    listen 80;
    server_name example.com;

    location /images/ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;  # 拒絕盜鏈
        }
        root /var/www/example.com;
    }
}

這樣，只有訪問 example.com/images/ 并且 Referer 是 example.com 或其子域名的請求才會成功，其他站點盜鏈時將被拒絕。

基于 IP 地址的防盜鏈

除了使用 Referer 頭外，還可以通過限制 IP 地址來防止外部站點盜鏈。雖然這種方式不如基于 Referer 的方法直接，但在某些情況下，結(jié)合使用會更加安全。

基本配置

server {
    listen 80;
    server_name example.com;

    location /images/ {
        allow 192.168.1.0/24;  # 允許特定 IP 范圍訪問
        deny all;               # 拒絕其他 IP 訪問
        root /var/www/example.com;
    }
}

配置解釋：

allow：允許特定 IP 或 IP 范圍訪問資源。
deny：拒絕其他 IP 的訪問。

這種配置可以用于限制只允許公司內(nèi)部的 IP 地址訪問特定的資源。

防盜鏈的增強措施

為了進一步增強防盜鏈的效果，可以結(jié)合以下措施：

限制 HTTP 方法

通過限制不必要的 HTTP 方法，減少外部濫用的風(fēng)險。

server {
    listen 80;
    server_name example.com;

    location /images/ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;
        }
        limit_except GET POST {
            deny all;  # 只允許 GET 和 POST 方法
        }
    }
}

使用 Token 驗證

你可以通過在請求 URL 中使用加密的 Token 來驗證請求是否合法。只有合法的請求才能通過 Nginx 訪問資源。這種方法通常用于視頻、音頻等媒體資源的防盜鏈。

設(shè)置緩存時間

對不常更改的資源（如圖片、視頻等）設(shè)置合理的緩存時間，減少盜鏈帶來的帶寬消耗。

location ~* \.(jpg|jpeg|png|gif|bmp)$ {
    expires 30d;  # 緩存 30 天
}

實際場景

防止圖片被盜鏈

一個常見的實際場景是防止其他網(wǎng)站盜用你網(wǎng)站的圖片。如果你的圖片資源很大，被其他站點盜用會導(dǎo)致帶寬浪費，同時也可能影響你網(wǎng)站的加載速度和 SEO 排名。你可以通過 Nginx 配置 Referer 防盜鏈，只允許自己的站點加載圖片。

保護下載文件

對于一些需要付費或特定用戶才可以下載的文件（如電子書、軟件包等），你可以通過防盜鏈策略來確保只有購買或注冊的用戶能訪問這些資源。

server {
    listen 80;
    server_name example.com;

    location /downloads/ {
        valid_referers none blocked example.com;
        if ($invalid_referer) {
            return 403;
        }
        root /var/www/example.com;
    }
}