防止通过 .htaccess 盗链的有效方法

Question

在我去指责某人之前，我需要确认一些事情……好吧，我不想说。

问题：

我们允许用户上传图像并将其嵌入我们网站上的文本中。过去，我们也允许用户热链接到我们的图像，但由于服务器负载，我们不幸不得不停止这一点。

当前的“解决方案”：

程序员解决“连接过多”问题的方法是将接收和处理图像请求的文件（image_request.php）重命名为image_request2.php，并将显然

<?php
header("HTTP/1.1 500 Internal Server Error") ;
?>

，这导致所有 src 属性指向原始 image_request.php 的图像被破坏，并且在这种情况下发送的代码也是错误的。

建议的解决方案：

我觉得更优雅的解决方案是：

在.htaccess中

1. 如果请求是针对image_request.php
2. 检查引用者
3. 如果引用者不是我们的网站，则发送适当的标头
4. 如果引用者是我们的网站，请继续到 image_request.php 并处理图像请求

我想知道的是：

与简单地为每个请求返回 500 到 image_request.php 相比：

更多负载会是多少如果我们使用我提出的上述替代解决方案，会产生什么费用？

有更好的方法吗？

我们主要担心的是该网站能否正常运行。我不愿意同意破坏所有内部链接的图像是解决此问题的最佳/唯一方法。我拒绝告诉我们的用户，由于我们更改了某些内容，他们现在必须手动更改之前上传的所有内容中的嵌入代码。

Answer 1

好的，那么您可以使用 Apache 的 mod_rewrite 功能来防止热链接：

http://www.cyberciti.biz/faq/apache-mod_rewrite-hot-linking-images-leeching-howto/

Answer 2

使用 ModRwrite 可能会比运行 PHP 脚本带来更少的负载。我认为你的解决方案会更轻松。

确保仅当引用标头不为空时才在步骤 3 中阻止访问。某些浏览器和防火墙完全阻止引用标头，您不想阻止它们。

Answer 3

我假设您将图像路径与图像 ID 一起存储在数据库中，对吧？
然后查询数据库中的图像路径并为其提供图像 ID。

我建议你在服务器上安装 MemCached 并缓存用户请求。用 PHP 很容易做到。之后，您将看到服务器负载并决定是否应该完全停止这种热链接。

Answer 4

您增加的负载等于 PHP 中字符串比较的负载 (zilch)。

混淆解决方案甚至不能从一开始就解决问题，因为它不能阻止未来热链接的发生。如果您检查引用标头，请绝对确保所有主要主流浏览器都会按照您的预期设置标头。它是一个可选标头，对于 HTML 文档中嵌入的图像，不同浏览器的行为可能有所不同。

您可能为所有请求启用了会话（无论它们是否经过身份验证）——作为备份计划，您还可以将会话 cookie 名称重命名为一些模糊的名称（编辑：只要 cookie 存在，这里的模糊性实际上并不重要）仅为您的主机设置（确实如此））并检查 image_request.php 中是否设置了该名称的 cookie（没有 cookie 设置将表明这是对您站点的第一个请求）。仅将其用作后备或冗余检查。这比检查推荐人更糟糕。

如果您通过 markdown 或其他方式动态生成 IMG HTML，则可以使用私钥哈希策略，并在查询字符串上附加一个短暂的过期时间。完全气密，但对于你正在做的事情来说似乎有点太过分了。

此外，没有“适当的标头”可以向客户端谎报资源的可用性；）只需发送 404。