针对私有空间的token仅限于一个文件该如何优化？

Question

我想下面的场景应该还比较常见：

1. 用户的图片通过服务端上传至七牛云，这肯定要私有空间，因为不是网站的静态图片，不能公开。

2. 用户要浏览自己的图片。这时候问题来了，不仅是每一张图片都要生成一个token，甚至是每一种规格的缩略图也都要生成一个新的token，对性能的损耗比较大，每次都要根据具体的资源路径做编码。假设用户空间有100张图片，访问100张缩略图要生成100次token，用户打开一张原图又要一次。

目前想到的一个优化办法是一个用户登录后，后台开始将其所有的图片按照session时间去刷token，前台可以直接拿到带token的图片URL。不知道有没有更好的办法？

或者说应该用公开空间？公开空间能否防止外链或者不停下载刷流量？

感谢！

Answer 1

一般来说，防止盗刷开启防盗链的方式，把鉴权放到 CDN 上会减小七牛源站存储的压力，如果是网站静态图片，又不能说是签算一小时有效期的 token ，这样过期时间很短，针对楼主遇到的困难，个人建议绑定一个自定义域名，配置 referer 防盗链，只有在自己的网页中才可以打开。如果觉得页面上仍然存在盗刷风险，可以提交工单至 https://support.qiniu.com/ 申请防攻击策略配置。