防止链接其他网站的 css

Question

我的网站上有一个 commerce css。我使用 IIS，供应商说其他人可以使用我的 css 字体，因为他们知道 url。是否可以设置服务器或其他东西，以便只有我的网站可以使用它？是关于cufon的

Answer 1

如果您使用的是 IIS7 或更高版本，则无需编写任何自定义代码，只需使用 此处。但是，作为简单的引用检查，它具有其他答案中讨论的缺点。

（有关 IIS URL 重写的介绍，请参阅此处.)

摘自第一个链接：

现在让我解释一下我们做了什么
在此属性页上：

• 将规则名称指定为“防止盗取”。这一定是一个
  独特的规则。
• 每个请求的 URL 都会被匹配，因为模式是“.*”并且是
  正则表达式。
• 添加了两个条件并指定了要满足的两个条件
  （参见“逻辑分组”是“匹配
  全部”）
• HTTP_REFERER 不匹配空，因为它可以直接引用
  图片
• HTTP_REFERER 与我自己的网站 http://www.contoso.com

如果满足以上两个条件
满意（显然意味着
请求来自任何其他
网站），我们只是将其重定向到
选取一些其他图像，可以是
任何东西就是这样。所以没有
即使只写一行代码，我们
能够防止热链接。

我可能会定制您的重写配置，以便它仅在您的字体 URL（以及其他相关的静态资产）上执行，而不是在每个传入请求上执行。

如果您没有远程桌面访问权限或只是编辑 web.config，您的重写规则可能类似于：

    <rule name="block font leaching" stopProcessing="true">
      <match url="myFontFile.woff" />
      <conditions logicalGrouping="MatchAny">
        <add input="{HTTP_REFERER}" pattern="^$" /><!-- no referrer -->
        <add input="{HTTP_REFERER}" pattern="yourdomain.com" negate="true" /><!-- or not your site -->
      </conditions>
      <action type="AbortRequest" /><!-- block the request -->
    </rule>

在本示例中，我选择完全阻止请求（通过 AbortRequest< /code>），但是您也可以重定向到带有友好通知的页面。

Answer 2

不可靠。为了提供嵌入字体，它们需要可供公众阅读，并可由 CSS 引用。

您可以做的是创建一个 asp.net 页面，或者一个处理程序，它接受字体文件的参数，从网站中的某个位置读取文件（APP_DATA 是放置它们的好地方 - 您无法浏览到 APP_DATA ）然后吐出来。在脚本中，您可以检查 HTTP_REFERER 服务器端变量，如果它为空，或者来自您的站点，则您将提供文件服务器，如果不是，则不会。

MSDN 有一个如何在 C# 中提供二进制文件的示例。您需要确保 MIME 类型正确，但请注意，这可能会破坏浏览器或代理提供的任何缓存。这也不会阻止人们通过在浏览器中输入 URL 并将其保存在本地来下载字体，但如果带宽是问题所在，那么这并不是真正的问题。

如果您使用的是 IIS7，您可以编写一个 Http 模块来为您执行引荐来源网址检查，Scott Hansleman 为 图像盗取预防 很久以前，您可以编辑它以符合您的目的。

Answer 3

您可以创建一个 http 处理程序来提供 css 文件。在自定义 http 处理程序中，检查 request.Url.Host 是否等于 request.UrlReferrer.Host。如果它们不匹配，请将响应设置为 404 或提供一个空的 css 文件。

这未经测试，但应该接近您的需要。
您可以添加一个 css 链接，例如：

<link rel="Stylesheet" href="CustomCSSHandler.ashx?file=site.css" />


public class CustomCSSHandler : IHttpHandler 
{
    public void ProcessRequest(HttpContext ctx) 
    {
        HttpRequest req = ctx.Request;
        //Get the file from the query stirng
        string file = req.QueryString["file"];
        //Find the actual path
        string path = ctx.Server.MapPath(file); //Might need to modify location of css

        //Limit to only css files
        if(Path.GetExtension(path) != ".css")
            ctx.Response.End();

        if (req.UrlReferrer != null && req.UrlReferrer.Host.Length > 0)
        {
            if (CultureInfo.InvariantCulture.CompareInfo.Compare(req.Url.Host, req.UrlReferrer.Host, CompareOptions.IgnoreCase) != 0)
            {
                path = ctx.Server.MapPath("~/thiswontexist.css");
            }
        }   

        //Make sure file exists
        if(!File.Exists(path))
        {
            ctx.Response.Status = "File not found";
            ctx.Response.StatusCode = 404;
            ctx.Response.End(); 
        }           

        ctx.Response.StatusCode = 200;
        ctx.Response.ContentType = "text/css";
        ctx.Response.WriteFile(path);
    }
}

Answer 4

你可以做的事情：

1. 放弃。如果您的用户可以看到它，他们就可以窃取它。同样，不要指望保护您的网站不让用户查看其源代码。
2. 如果字体是矢量字体，请对您支持的所有字体大小进行光栅化，但不要对其他字体进行光栅化。这可能会对用户的浏览体验产生负面影响。这使得窃取你的字体所提供的有用数据较少，但实际上并不能阻止盗窃。
3. 将字体的所有使用替换为位图。在这种情况下，需要做更多的工作，并且只向用户提供字体的光栅化版本（不一定是所有字母）。您可以创建一个特殊的文本UserControl，将位图粘贴到您放置的任何位置，因此实际上不需要做或维护太多工作。不过，它确实增加了页面的带宽要求。它还迫使您手动进行一些通常由浏览器处理的布局，这可能会增加大量的维护成本或最小的维护成本，具体取决于您网站的布局如何工作。与#2 一样，它可能会对用户的浏览体验产生负面影响。它还会损害可访问性，尽管这并不荒谬，因为您的 UserControl 可能会使用替代文本来复制文本。

我强烈推荐#1。