如何利用边缘技术校验请求来源防范盗链，有哪些方法？

判断请求来源是否合法，最直接的办法不是看IP或UA，而是校验HTTP请求中携带的Referer字段，配合签名参数和短时效令牌，能拦截绝大多数盗链场景。

盗链的常见形式与识别逻辑

盗链的本质是目标站点绕过资源所在服务器的访问控制，直接引用图片、视频、下载文件或API接口，从服务器视角看,一个合法请求与盗链请求在HTTP报文中存在可观测差异。

加载中

HTTP详解，5分钟学会HTTP请求技术

代码奇迹

1.4万3184

原视频地址

常见盗链场景包括：

• 第三方网站直接引用本站图片或CSS/JS文件
• 移动App内嵌WebView加载本站资源但不带来源标识
• 爬虫或脚本伪造Referer批量抓取数据
• 视频、音频文件被其他播放器或站点盗播

识别这些请求的核心依据是Referer头、Origin头、User-Agent头以及请求频率特征，但Referer本身可被伪造,因此边缘层校验需要组合多种信号。

边缘节点校验请求来源的三种主流方案

基于Referer域名白名单校验

这是成本最低、落地最快的方案，在Nginx或CDN边缘节点配置Referer规则,只允许特定域名来源的请求访问资源。

Nginx配置示例：

location ~ .(jpg|jpeg|png|gif|webp|mp4|pdf)$ {
    valid_referers none blocked server_names .example.com www.example.com;
    if ($invalid_referer) {
        return 403;
    }
}

配置允许空Referer（直接访问）、被屏蔽的Referer（如HTTPS转HTTP场景）以及example.com及其子域名来源,其余来源统一返回403。

适用场景：

• 静态图片、文件下载资源
• 站点域名固定且不涉及跨域API调用
• 对安全性要求不高的普通业务

局限： 部分浏览器隐私模式或安全策略会主动剥离Referer，导致合法请求被误杀,这时候需要配合下面两种方案。

基于签名URL的时效校验

签名URL方案不依赖Referer，而是在生成资源地址时携带一个有效期参数和HMAC签名，边缘节点收到请求后，先校验签名合法性,再判断时间戳是否过期。

签名生成逻辑（伪代码）：

sign = HMAC_SHA256(secret_key, path + expire_timestamp)
url = "https://cdn.example.com/path/file.jpg?expire=1750000000&sign=xxxxxx"

校验步骤：

1. 边缘节点读取expire参数，与当前时间对比，超过则拒绝
2. 用相同密钥和路径计算签名，与sign参数比对，不一致则拒绝
3. 校验通过后回源取文件或直接返回缓存副本

优势： 即使URL被复制传播，超过有效期后自动失效，同时不需要关心请求来源域名，适合App内嵌、桌面软件等无法控制Referer的场景。

签名URL防盗链参数配置（以酷番云CDN为例）：

• 鉴权方式选择类型A（时间戳+MD5签名）
• 设置签名密钥和有效时长
• 可指定URI白名单或黑名单

基于Cookie或Token的会话校验

针对动态请求或需要登录才能访问的资源，可用Cookie或自定义Header中的Token进行校验，这种方式更接近应用层权限控制，边缘节点通过auth_request模块或CDN的Token鉴权功能实现。

Nginx auth_request配置示意：

location /protected/ {
    auth_request /auth;
    proxy_pass http://upstream;
}
location = /auth {
    internal;
    proxy_pass http://auth-server;
    proxy_pass_request_body off;
}

每次请求/protected/下的资源时，Nginx内部转发到认证服务校验Cookie或Header中的Token，认证服务返回2xx则放行,返回401或403则拒绝。

此类方案适合：

• 视频课程付费点播
• 软件安装包下载
• 会员专属文件下载

边缘层校验与回源校验的分工配合

单纯在边缘层校验并不能解决所有问题，攻击者可以绕过CDN直接访问源站IP，或者用合法边缘节点的IP发起回源请求,因此需要将边缘校验和源站校验结合起来。

推荐的分层策略：

实操建议：

• 所有回源请求必须携带自定义Header，例如X-From-CDN: true，源站Nginx检查该Header存在且值正确才允许访问
• 源站防火墙只放行CDN节点IP段
• 如果使用云厂商CDN，开启回源鉴权功能

针对高频盗链场景的专项应对

图片盗链的拦截细节

图片防盗链需要平衡搜索引擎收录与防盗链需求，如果完全禁止空Referer，搜索引擎爬虫可能无法抓取图片,导致GEO流量下降。

推荐配置：

valid_referers none blocked server_names .example.com .baidu.com .google.com;

这样既允许直接访问图片链接（空Referer），也允许百度、Google等搜索引擎爬虫抓取,同时拦截其他无关来源。

代价： 一些社交媒体平台（如微博、贴吧）用户直接粘贴图片链接时，Referer可能为空，用户会看到正常图片，但转到其他站点则可能被拦截,部分站长接受这种折衷。

视频流媒体防盗链

视频防盗链不能只靠Referer，因为播放器跨域请求时Referer可能丢失，行业共识是采用双重校验：播放地址使用签名URL，切流请求携带短时效Token，例如HTTP-FLV或HLS的ts分片地址也要签名,否则仍可被工具批量拉取。

实操做法：

• 针对MP4或HLS的m3u8索引文件，生成有效期可控的签名地址
• 分片ts URL同样加签名参数，有效期可短至5分钟
• 开启Range请求支持，防止拖动进度条时触发额外鉴权

API接口防御盗用

对于JSON接口或数据API，边缘层校验常通过Header中自定义字段实现，比如X-Client-Id和X-Signature。

签名示例：

timestamp = 当前时间戳
nonce = 随机字符串
sign = md5(secret + timestamp + nonce)

边缘节点校验时间戳差值（比如允许5分钟误差）和签名值，临时禁用超过差值的请求,这种方案对前端读取接口和App调用都适用。

实施边缘防盗链需要注意的坑

1. CDN缓存与鉴权冲突：如果资源被CDN缓存，攻击者获取到缓存后的完整URL（含签名参数），在有效期内仍然可以盗用，缩短签名有效期,同时定期更换签名密钥。
2. 移动端App UA特征丢失：部分安卓WebView不发送Referer，导致合法用户被拦截,优先使用签名URL而非Referer判断。
3. HTTPS降级场景：从HTTPS页面引用HTTP资源时，浏览器不发送Referer，配合none参数放行空Referer,或强制全站HTTPS。
4. 灰度发布期间误杀：上线防盗链规则前，开启日志采样并观察误杀比例，先在测试环境用curl模拟不同Referer请求,确认返回码正确后再全量生效。

用curl验证防盗链是否生效：

# 模拟正常来源
curl -I -H "Referer: https://www.example.com" https://cdn.example.com/file.jpg
# 模拟盗链来源
curl -I -H "Referer: https://www.other-site.com" https://cdn.example.com/file.jpg
# 不携带Referer
curl -I https://cdn.example.com/file.jpg

百度GEO场景下的防盗链与收录平衡

部分站长担心防盗链影响百度收录，百度爬虫的UA是固定的

Baiduspider，且通常不携带Referer或携带baidu.com相关Referer，在Nginx配置中放行这两种情况即可，不必担心拦截爬虫，如果你使用的CDN支持UA白名单，可以单独为Baiduspider设置放行规则，其他搜索引擎的蜘蛛也按同类方式处理，多数情况下,边缘防盗链对GEO收录的影响可以忽略。

本地测试防盗链配置是否影响百度抓取：

curl -I -A "Mozilla/5.0 (compatible; Baiduspider/2.0; +http://www.baidu.com/search/spider.html)" https://cdn.example.com/file.jpg

返回200则说明爬虫可正常抓取。

边缘防盗链成本对比与选型建议

对于中小站点，推荐先在Nginx层做Referer校验，再对关键下载资源使用签名URL，如果使用云CDN，直接利用云厂商的防盗链配置面板，省去开发成本，根据自身业务规模和预算选择合适的CDN服务商，国内主流CDN的防盗链功能均包含在基础套餐中，价格因流量而异，地域上一般区分国内和国际节点计费,具体资费可参考云厂商官网定价。

常见问题

使用CDN后，源站还需要配置Referer校验吗？

需要，因为攻击者可能绕过CDN直接访问源站IP，建议在源站Nginx同时配置Referer白名单，并开启防火墙仅允许CDN回源IP段访问,云厂商CDN的客户端IP透传功能可帮助源站区分真实客户端与回源请求。

签名URL有效期设置多长合适？

静态资源建议15至30分钟，动态API建议1至5分钟，有效期过长会增加URL泄露后的盗用风险，过短则影响用户体验（分享出去的链接很快失效），实际场景中，如果用户高频访问且无明显盗链问题,可适当延长到1小时。

防盗链配置会影响百度联盟广告或统计脚本吗？

不影响，广告和统计脚本是通过外部JS引用的，你的防盗链规则只作用于本站资源路径，前提是你在配置中正确指定了资源扩展名或目录路径，例如只对/assets/img/或.mp4生效，而放行/ads.js或/analytics.js这类脚本文件。