Apache Rewrite 模块是服务器管理中强大的工具，尤其在防盗链场景下，通过灵活的规则配置可有效保护网站资源被恶意盗用，以下从基础原理到实际案例，详细解析三类常见的 Apache Rewrite 防盗链实现方式，涵盖图片、视频及动态资源等不同类型，并附关键配置说明与注意事项。
基于 Referer 的图片资源防盗链
核心原理
配置示例
RewriteEngine On# 允许的授权域名（多个域名用 | 分隔，需转义 . 为 .）RewriteCond %{HTTP_REFERER} !^$RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?alloweddomain.com [NC]RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?alloweddomain2.org [NC]# 拦截非法请求并返回自定义图片或 403 错误RewriteRule .(jpg|jpeg|png|gif|bmp)$ /error/403_forbidden.gif [NC,L]
参数说明
适用场景
适用于博客图片、产品展示图等静态资源，需定期更新授权域名列表，避免因业务变更导致合法访问被拦截。
基于 Token 验证的动态资源防盗链
对于视频、音频等大流量动态资源，仅靠 Referer 校验安全性不足，需结合 Token 机制实现更严格的访问控制。
核心原理
通过生成含有时效性和签名信息的 Token，将 Token 作为 URL 参数嵌入资源链接，服务器验证 Token 的有效性和合法性，仅允许携带有效 Token 的请求访问资源。
配置示例
RewriteEngine On# 提取 URL 中的 token 参数RewriteCond %{QUERY_STRING} ^token=([a-zA-Z0-9]+)$ [NC]# 验证 Token 是否有效（此处需结合后端逻辑，示例为伪代码）RewriteCond %{QUERY_STRING} !^token=[a-zA-Z0-9]+&expires=d+$ [NC]RewriteRule ^videos/.*.mp4$ - [F]# 允许携带有效 Token 的请求访问RewriteCond %{QUERY_STRING} ^token=[a-zA-Z0-9]+&expires=d+$RewriteCond %{TIME} >%{QUERY_STRING:expires} [NC]RewriteRule ^videos/.*.mp4$ - [F]
实现步骤
注意事项
适用场景
在线教育视频、会员专享内容等高价值动态资源，可有效防止直接下载和盗链。
基于 IP 白名单的 API 接口防盗链
对于核心 API 接口，需限制仅允许特定 IP 地址（如合作方服务器、内部系统）访问，避免接口滥用和数据泄露。
核心原理
通过
RewriteCond
匹配客户端 IP 地址，若不在预设白名单内，则直接拒绝请求，需结合
mod_rewrite
和
mod_authz_host
模块实现。
配件示例
RewriteEngine On# 定义允许的 IP 白名单（单个或网段）RewriteCond %{REMOTE_ADDR} !^192.168.1.100$RewriteCond %{REMOTE_ADDR} !^10.0.0.0/24$RewriteCond %{REMOTE_ADDR} !^172.16..*$# 拦截非白名单 IP 对 API 的访问RewriteRule ^api/v1/.*$ - [F]
参数说明
增强方案
适用场景
三类防盗链方案对比
| 方案类型 | 核心机制 | 优点 | 缺点 | 适用资源 |
|---|---|---|---|---|
| Referer 校验 | 配置简单，兼容性强 | 可被伪造，无法阻止直接下载 | 静态图片、CSS/JS 文件 | |
| Token 验证 | 动态签名+时效性控制 | 安全性高，可精确控制访问权限 | 需后端支持，增加开发复杂度 | 视频、音频、会员资源 |
| IP 白名单 | 客户端地址限制 | 维护成本高，灵活性不足 | 核心 API、管理后台接口 |
Apache Rewrite 防盗链需根据资源类型和安全需求选择合适方案：静态资源优先 Referer 校验，动态资源推荐 Token 验证，核心接口则建议 IP 白名单，实际部署中，需结合日志监控定期优化规则，避免误拦截合法请求，同时注意 HTTPS 环境下 Referer 的传递问题（部分浏览器可能不发送 HTTPS 到 HTTP 的 Referer），通过多维度防护，可有效提升网站资源安全性，降低服务器带宽压力。
发表评论