.htaccess防盗链的方法

  • 2016-01-12
  • 0

http标准协议中有专门的字段记录referer
一来可以追溯上一个入站地址是什么
二来对于资源文件，可以跟踪到包含显示他的网页地址是什么。
因此所有防盗链方法都是基于这个Referer字段
网上比较多的２种
一种是使用apache 文件FileMatch限制，在httpd.conf中增加 ( 其实也可以将把下面的语句存成一个.htaccess文件)，并放到你的网站 的根目录（就是www/html目录），这样子别人就没有办法盗连你的东东了~~

 

Java代码  收藏代码

  1. SetEnvIfNoCase Referer “^http://yahoo.com/” local_ref=1  
  2.   
  3. Order Allow,Deny  
  4. Allow from env=local_ref  
  5. Allow from 127.0.0.1  

 

这种很方便禁止非允许访问URL引用各种资源文件
请大家注意，把第一句”^http://yahoo.com/”改为你的网站，比如我的网站是： http://www.linji.cn
我应该这么写的  “^http://www.linji.cn/”
第二种是使用rewrite,需要增加apache的mode_rewrite，支持.htaccess文件目录权限限制
在虚拟主机根目录增加.htaccess文件，描述从定向，把非本地地址refer的图片文件都从定向到警告图片或者警告网页上。
首先要确认你的服务器 或空间的服务器解译引擎为Apache2，还有支持.htaccess客户设置文件，如果你有自己的服务器就请先对./conf/httpd.conf 文件做以下修改 找到：#LoadModule rewrite_module modules/mod_rewrite.so
把前面的 # 给去掉


找到第一个 AllowOverride None 改为 AllowOverride All 重启Apache2服务器
接下就是做一个 .htaccess 文件了，其 .htaccess 文件内容为

 

RewriteEngine on
RewriteCond %{HTTP_REFERER} !^http://aaoo.net/ .*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://aaoo.net $ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.aaoo.net/ .*$ [NC]
RewriteCond %{HTTP_REFERER} !^http://www.aaoo.net $ [NC]
RewriteRule .*.(jpg|jpeg|gif|png|bmp|rar|zip|exe)$http://down.yoyo.com.ru/err.html [R,NC,L]

   


其中有色的地方都是要改为你的：
红色 ：就是改为你提供下载页面的地址，也就是只有通过这个地址才可以下载你所提供的东东。
蓝色 ：就是要保护文件的扩展名(以|分开)，也就是说以这些为扩展名的文件只有通过红色的地址才可以访问。
绿色 ：如果不是通过红色的地址访问蓝色这些为扩展名的文件时就回重定向到绿色地址上。
这个方法有个好处是，不同的虚拟主机用不同的描述定义。
接下就是怎么用 .htaccess 文件来实现防盗链了。首先要在空间上建两个目录(当然目录名随你)，一个为 web 另一个为 down ，web 是用来放下载页面的(或下载程序)，down 当然就是放你提供的东东的啦，把 .htaccess 文件的红色部分改一下，改为http://你的域名/web。蓝色部分改为你要保护文件的扩展名。绿色部分改为http://你的域名/web。改后保存.htaccess 文件把它上传到 down 目录。

 


实例：

 

Java代码  收藏代码

  1. <IfModule mod_rewrite.c>  
  2.   
  3. # 开启Rewrite模块   
  4. RewriteEngine On  
  5.   
  6. # 定义要保护的文件夹，建议只要保护上传文件夹(/wp-content/uploads/)就可以，主题文件夹之类的就算了  
  7. RewriteBase /wp-content/uploads/  
  8.   
  9. #允许空的来源，因为用户可能手动输入图片网址  
  10. RewriteCond %{HTTP_REFERER} !^$ [NC]  
  11.   
  12. #允许自己的网站访问啦   
  13. RewriteCond %{HTTP_REFERER} !photozero.net [NC]  
  14.   
  15. #允许几个常用的在线阅读器的访问   
  16. RewriteCond %{HTTP_REFERER} !zhuaxia.com [NC]  
  17. RewriteCond %{HTTP_REFERER} !xianguo.com [NC]  
  18. RewriteCond %{HTTP_REFERER} !google.com [NC]  
  19. RewriteCond %{HTTP_REFERER} !feedburner.com [NC]  
  20. RewriteCond %{HTTP_REFERER} !feedsky.com [NC]  
  21.   
  22. #括号中的是要保护的文件拓展名，这里只保护了 gif,jpg,png，再加上出错时的图片地址 unavailable.png   
  23. RewriteRule .*.(gif|jpg|png)$ http://example.com/unavailable.png [R,NC,L]  
  24.   
  25. </IfModule>  

 

简单的解释一下上述语句：
1、RewriteCond %{HTTP_REFERER} !^$ [NC]
允许空“HTTP_REFERER”的访问，即允许用户在浏览器地址栏中直接输入图片地址时图片文件的显示。一般而言，这是可选的，不过，建议这么设置，如果强迫必须具有“HTTP_REFERER”才能访问，可能会带来某些问题，比如说在用户通过代理服务器访问时。
2、RewriteCond %{HTTP_REFERER} !webeta.cn [NC]
设置允许访问的HTTP来源，包括我们的站点自身、Google、Baidu、Bloglines、Feedburner等。
3、RewriteRule .*.(gif|jpg|png)$ http://www.aaa.com/no.png [R,NC,L]
定义被盗链时替代的图片，让所有盗链 jpg、gif、png 等文件的网页，显示根目录下的 no.png 文件。注意：替换显示的图片不要放在设置防盗链的目录中，并且该图片文件体积越小越好。当然你也可以不设置替换图片，而是使用下面的语句即可：
RewriteRule .*.(gif|jpg|png)$ – [F]
4、说明一下其中的R、NC 和 L


R 就是转向的意思
NC 指的是不区分大小写
L 的作用是指明本次转向到此结束，后续的转向不受先前判断语句的影响

 


5、防止盗链的文件类型
上例中是 gif、jpg、png，而根据需要，可更改或添加其他文件类型，如rar、mov等，不同文件扩展名间使用“|”分割。
这样的话，就可以基本做到简单的防止被盗链情况的发生，而且可以尽最大可能的减少服务器流量的无畏消耗，当然了，如果你不在意这点流量的话，那么可以不用考虑上述设置啦！

 

haccess在线编辑工具 
中文化界面（支持十种语言，包括正体中文），功能比较完善：
支持：

  1. 是否显示文章列表(是否显示网站索引目录) 
  2. 是否启用密码保护(可对单个目录启用密码保护) 
  3. 各种错误页面设置(400     Bad Request401     Auth Req’d402     Payment Req’d403     Forbidden404     Not Found405     Method Not Allowed406     Not Acceptable407     Proxy Auth Repid408     Request Time Out409     Conficting Request410     Gone411     Content Len Req’d412     Precondition Failed413     Entity Too Long414     URI Too Long500     Int, Server Error501     Not Implemented502     Bad Gateway503     Service Unavailable504     Gateway Timeout505     HTTP Ver Not Sup…) 
  4. 预设置页面(设置任意页面为主页) 
  5. www转向设置(将www.重定向) 
  6. 301 302转址(用来重定向) 
  7. 存取限制(用来防盗链)
    现在 就去看看：http://www.htaccesseditor.com/sc.shtml

还有第三种：
我在解决blog禁止盗链的时候，发现个问题，也算个好方法。blog把所有资源都自己管理起来，用resserver.php来动态显示，这样统一的入口方便添加权限操作。同时造成上面２种方法无法使用，因为不再是apache直接访问资源文件，而是php 通过文件读取。
因此只能在代码 中做手脚：在读取资源文件输出之前，加如下判断代码

 

Php代码  收藏代码

  1. $referer = $_SERVER[’HTTP_REFERER’];  
  2. $selfurl = $_SERVER[’HTTP_HOST’];  
  3.   
  4. if(false == strpos($referer,$selfurl)){  
  5.     echo ’非法盗链!’;  
  6.     exit(1);  
  7. }  

 

这里有些偷懒，直接看引用地址中是否包含host地址，不过原理就是这样，判断referer是否是本站地址。我们常常在下载的时候，也碰到盗链网站无法下载，报盗链的问题。要下载这类文件最简单的方法就是改referer比方flashget中，网址下面的”引用”一栏中，直接填写下载地址就可以了。

 

.htaccess是一个完整的文件名，不是***.htaccess或其它格式（当然也有管理员把其设置 成其它名字，但一般都是使用.htaccess）。另外，上传.htaccess文件时，必须使用ASCⅡ模式，并使用chmod命令改变权限 为：644（RW_R__R__） 。每一个放置.htaccess的目录和其子目录都会被.htaccess影响。例如，在/abc/目录下放置了一 个.htaccess文件，那么/abc/和/abc/def/内所有的文件都会被它影响，但/index.html不会被它影响，这一点是很重要的。

 

 

实例功能 ：文档访问的密码保护

要利用.htaccess对某个目录下的文档设定访问用户和对应的密码，首先要做的是生成一个.htpasswd的文本文档，例如：
zheng:y4E7Ep8e7EYV
这里密码经过加密，用户可以自己找些工具将密码加密成.htaccess支持的编码。该文档最好不要放在www目录下，建议放在www根目录文档之外，这样更为安全些。
有了授权用户文档，可以在.htaccess中加入如下指令了：

Java代码  收藏代码

  1. AuthUserFile .htpasswd的服务器目录  
  2. AuthGroupFile /dev/null （需要授权访问的目录）  
  3. AuthName EnterPassword  
  4. AuthType Basic （授权类型）  
  5. require user wsabstract （允许访问的用户，如果希望表中所有用户都允许，可以使用 require valid-user）   


注，括号部分为学习 时候自己添加的注释

Theme by Qzhai