下午摸鱼的时分遇到了一件有意思的事，在网上找到一个资源站，将资源站的 url 放到自己的博客里，想白嫖一波，结果在我自己的博客里链接失效了，折腾半响遽然想起来，这个网站应该是做了防盗链处理。
什么是盗链
盗链是个什么操作，看一下百度给出的解说：盗链是指服务供给商自己不供给服务的内容，经过技能手法绕过其它有利益的最终用户界面（如广告），直接在自己的网站上向最终用户供给其它服务供给商的服务内容，骗得最终用户的阅读和点击率。受益者不供给资源或供给很少的资源，而真实的服务供给商却得不到任何的收益。
术语听得有点模糊？那咱们简略的举个栗子：
平常咱们在TX网看新闻，里面有许多劲爆的图片、视频资源，每天招引上亿的用户活泼阅读，赚着大把的广告费。
有一天一个穷比程序员小富突发奇想，也想建一个自己的网站招引用户赚广告费，但苦于自己没有资源，他灵光一闪盯上了TX网，心想：要是把它的资源为我所用，这样就能凭借TX的资源为自己挣钱。
所以他经过爬虫等一些列技能手法，把TX网资源拉取到自己的小富网，绕过了TX网的展现页面直接出现给用户，达到了自己不供给资源又能挣钱的意图。
而如此做法却严峻的损害了TX网的利益，不只分流了许多用户，并且由于小富网的许多直接资源恳求，大大添加TX网服务器及带宽的压力。
TX网蛋糕被迫，深恶痛绝决议封杀小富网这类空手套白狼的站点，总算祭出防盗链体系，对除了在TX网本站以外建议的资源恳求悉数封杀，小富网无法再拉取资源，小富一会儿又成了穷比，嘤嘤嘤~
上边咱们简略的举例说了什么是网站的盗链，再总结的简略点便是小站点盗取大站点资源以此来获利的一种行为。
已然有人盗就会有人防盗，接下来在看看怎样避免盗链。
怎么防盗链
防盗链在google，新浪，网易，天边等，内容为主的网站运用的比较多，究竟主要靠资源内容挣钱的嘛。
说到防盗链的完成原理得从HTTP协议说起，上边咱们说过设置防盗链今后，会对 “除了在TX网本站以外建议的资源恳求悉数封杀”，那么问题来了，怎么辨认一个恳求URL是从哪个站点宣布的呢？
了解HTTP协议的小伙伴应该知道，在HTTP协议头里有一个叫referer的字段，经过referer 告知服务器该网页是从哪个页面链接过来的，知道这个就好办了，只需获取 referer 字段，一旦检测到来历不是本站即进行阻挠或许回来指定的页面。
防盗链的核心理念：尽量做到不让外站获取到我的资源，即便能经过一些手法获取到资源，也让你的获取进程反常繁琐杂乱，无法完成自动化处理，或许爽性就给你有问题的资源恶心死你。
做防盗链的方法比较多，根据HTTP协议头的referer特点也仅仅其间一种，下边咱们来剖析几种完成防盗链的方法，假如你有更好的完成方法欢迎留言哦。
根据 HTTP 协议的 referer
根据HTTP协议中的 referer做防盗链，能够从网关层或许运用AOP、Filter阻拦器完成。
运用Nginx在网关层做防盗链，现在是最简略的方法之一。经过阻拦拜访资源的恳求，valid_referers 关键字界说了白名单，校验恳求头中referer地址是否为本站，如不是本站恳求，rewrite 转发恳求到指定的正告页面。
在 server 或许 location 装备模块中参加：valid_referers none blocked，其间 none : 答应没有http_refer的恳求拜访资源（比方：直接在阅读器输入图片网址）；blocked : 答应不是http://最初的，不带协议的恳求拜访资源。
留意：这种完成能够约束大多数一般的不合法恳求，但不能约束有意图的恳求，由于能够经过假造referer信息来绕过。
[root@server1 nginx]# vim conf/nginx.conf
location / {
root /web;
index index.html;
}
location ~* .(gif|jpg|png|jpeg)$ {
root /web;
valid_referers none blocked www.chengxy-nds.top;
if ($invalid_referer){
#return 403;
rewrite ^/ https://img-blog.csdnimg.cn/20200429152123372.png;
}
}
server {
listen 80;
server_name www.chengxy-nds.top;
location / {
root /bbs;
index index.html;
}
}
[root@server1 nginx]# systemctl restart nginx
Filter阻拦器的完成方法愈加简略，阻拦指定恳求URL，拿到HttpServletRequest 中 referer值比对是否为本站。
public class MyFilter implements Filter {
@Override
public void doFilter(HttpServletRequest request, HttpServletResponse response,
FilterChain chain) throws IOException, ServletException {
HttpServletRequest req = (HttpServletRequest) request;
HttpServletResponse res = (HttpServletResponse) response;
String referer = req.getHeader("referer");
if (referer == null || !referer.contains(req.getServerName())) {
req.getRequestDispatcher("XXX.jpg").forward(req, res);
} else {
chain.doFilter(request, response);
}
}
}登录验证，制止游客拜访
登录验证这种就归于一刀切的方法，一般在论坛、社区类网站运用比较多，不论你建议恳求的站点是什么，到我这先登录，没登录恳求直接回绝，简略又粗犷。
图形验证码
图形验证码是一种比较惯例的约束方法，比方：下载资源时，有必要手动操作验证码，使爬虫东西无法绕过校验，起到维护资源的意图。
完成防盗链的方法还有许多，这儿就不一一列举了（别问，问便是还有许多）。
总结
原本没想写这篇文章，下午建立自己的博客收拾材料，白嫖他人资源没成功有感而发，哈哈哈~ 正好借此机会简略的介绍一下防盗链的概念，提示 everyone 在开发中要前进安全意识。其实盗链与防盗链便是像是矛与盾相同，说不好是矛更尖利仍是盾更巩固，做不到肯定的防盗。道高一尺魔高一丈，盗链的手法越高，相应的防盗技能也会越老练。
收拾了几百本各类技能电子书相送 ，嘘~，免费 送给小伙伴们。重视公号【程序员内点事】回复【666】自行收取。和一些小伙伴们建了一个技能交流群，一同讨论技能、共享技能材料，旨在一起学习前进
发表评论