狠狠色丁香婷婷综合尤物/久久精品综合一区二区三区/中国有色金属学报/国产日韩欧美在线观看 - 国产一区二区三区四区五区tv

LOGO OA教程 ERP教程 模切知識交流 PMS教程 CRM教程 開發(fā)文檔 其他文檔  
 
網(wǎng)站管理員

整理常見實現(xiàn)防盜鏈功能的方案

admin
2025年1月9日 10:6 本文熱度 53

在熱門平臺上有許多的熱點新聞,熱門的圖片、視頻等資源,每天都吸引大量的用戶觀看和下載。于是就有攻擊者通過爬蟲等一系列技術(shù)手段,把熱門平臺上的資源拉取到自己的網(wǎng)站然后呈現(xiàn)給用戶,從而攻擊者達到了即不用提供資源也能賺錢的目的,如下圖所示盜取資源的過程圖:

?

    為此,熱門平臺為了防止其他的小站點盜取其資源,于是就使用防盜鏈來保護自身資源不被竊取。下面我們聊聊常見的幾種防盜鏈實現(xiàn)方案。

1、Nginx實現(xiàn)方案

    在HTTP協(xié)議頭里有一個Referer的字段,Referer可以告訴服務(wù)器該網(wǎng)頁請求是從哪里鏈接過來的,如下的請求頭截圖:

    那么可以利用請求頭上的Referer攜帶的值,使用Nginx在網(wǎng)關(guān)層做防盜鏈,這個也是最簡單的實現(xiàn)防盜鏈功能的方式之一。

    Nginx通過攔截訪問資源的請求,通過valid_referers關(guān)鍵字定義的白名單,校驗請求頭中Referer地址是否為本站,如不是本站請求,那么就拒絕這個請求的訪問,Nginx的配置如下所示:

location ~*\.(gif|jpg|png|jpeg)$ {    root /web;    valid_referers none blocked www.longxiabiancheng.com;    if($invalid_referer){        return 403;    }}

    Nginx的方式可以限制大多數(shù)普通的非法請求,但不能限制有針對性的攻擊請求,因為攻擊者可以通過偽造Referer信息來繞過Nginx的檢查。

2、SpringBoot的過濾器實現(xiàn)方案

    過濾器同樣是使用Referer的原理,在SpringBoot中聲明一個過濾器,然后獲取到當前請求頭當中的Referer,如下代碼所示:

public class MyResourceFilter implements Filter {    @Override    public void doFilter(ServletRequest servletRequest, ServletResponse servletResponse, FilterChain filterChain) throws IOException, ServletException {        HttpServletRequest request = (HttpServletRequest) servletRequest;        HttpServletResponse response = (HttpServletResponse) servletResponse;        //獲取referer        String referer =request.getHeader("Referer");        //指定通過的域名        String allowedDomain = "https://www.longxiabiancheng.com";        //如果不是可以通過的域名,直接返回        if(StringUtils.isEmpty(referer) || !referer.startsWith(allowedDomain)){            response.getWriter().write("longxiabiancheng");            return;        }    }}

    過濾器中通過比對Referer中的來源,如果它不是我們允許的來源,那么就直接拒絕請求。其實攻擊者依然可以偽裝Referer,所以還是無法徹底解決資源被盜取的問題。

3、token驗證的實現(xiàn)方案

    用戶登錄之后服務(wù)器通過生成一個token,然后每次用戶請求后端都需要將token攜帶給服務(wù)器,如果請求中沒有token或者token解析失敗,就直接拒絕請求的訪問。

    但是這種方式攻擊者依然可以通過先請求我們的登錄接口拿到token后,然后把token放在請求頭上,繼而達到偽裝成正常的用戶請求,這樣就繞過token驗證。

4、時間戳驗證方案

    正常的用戶打開一個網(wǎng)頁之后總會停留一定的時間,即使此用戶停留的再短也會比其他的竊取工具(爬蟲)停留的時間長,利用這個特點在每次響應(yīng)客戶端的時候,后端給客戶端響應(yīng)一個時間戳,然后前端攜帶這個時間戳請求后端接口,后端拿到時間戳后與當前的時間做比對,核心的代碼如下所示:

private boolean checkTime(HttpServletRequest request, HttpServletResponse response) {        //獲取時間戳        String timestampStr = request.getParameter("timestamp");
       try {            //時間戳不存在,直接拒絕訪問            if (timestampStr == null) {                response.getWriter().write("不可以繼續(xù)訪問哦");                return false;            }
           long timestamp = Long.parseLong(timestampStr);            long currentTimestamp = new Date().getTime();            //如果停留的時間大約指定的時間  就認為不是機器            if (Math.abs(currentTimestamp - timestamp) < 500) {                response.getWriter().write("不可以繼續(xù)訪問哦!");                return false;            }            return true;        } catch (Exception e) {            return false;        }    }

    請求種的時間戳與當前的時間計算差值,如果差值大于設(shè)定的值,我們就認為是正常用戶的請求,反之認定為盜竊用戶請求,則拒絕訪問。時間戳的方式也存在一定的誤判,用戶可能確實就在網(wǎng)頁上停留很短的時間。

5、圖形驗證碼的實現(xiàn)方案

    圖形驗證碼是一種比較常規(guī)的限制辦法,在下載資源,瀏覽關(guān)鍵信息的時候,都必須要求用戶手動操作驗證碼,典型的圖形驗證碼如下所示:

    使用圖形驗證碼使得一般的爬蟲工具無法繞過校驗,從而起到保護資源的目的。

    防盜鏈其實不是百分之百可以防住資源被盜竊的問題,它只能增加破解的難度,因為只要網(wǎng)站的數(shù)據(jù)能夠正常訪問,那攻擊者就能偽裝成正常用戶來竊取數(shù)據(jù)。在一些大公司中,他們會去結(jié)合大數(shù)據(jù)分析用戶的行為,將一些不正常的用戶行為定義到黑名單中,然后在黑名單上的用戶請求會被攔截。


該文章在 2025/1/9 10:06:21 編輯過
關(guān)鍵字查詢
相關(guān)文章
正在查詢...
點晴ERP是一款針對中小制造業(yè)的專業(yè)生產(chǎn)管理軟件系統(tǒng),系統(tǒng)成熟度和易用性得到了國內(nèi)大量中小企業(yè)的青睞。
點晴PMS碼頭管理系統(tǒng)主要針對港口碼頭集裝箱與散貨日常運作、調(diào)度、堆場、車隊、財務(wù)費用、相關(guān)報表等業(yè)務(wù)管理,結(jié)合碼頭的業(yè)務(wù)特點,圍繞調(diào)度、堆場作業(yè)而開發(fā)的。集技術(shù)的先進性、管理的有效性于一體,是物流碼頭及其他港口類企業(yè)的高效ERP管理信息系統(tǒng)。
點晴WMS倉儲管理系統(tǒng)提供了貨物產(chǎn)品管理,銷售管理,采購管理,倉儲管理,倉庫管理,保質(zhì)期管理,貨位管理,庫位管理,生產(chǎn)管理,WMS管理系統(tǒng),標簽打印,條形碼,二維碼管理,批號管理軟件。
點晴免費OA是一款軟件和通用服務(wù)都免費,不限功能、不限時間、不限用戶的免費OA協(xié)同辦公管理系統(tǒng)。
Copyright 2010-2025 ClickSun All Rights Reserved