基于Refferer的防盗链方案

google、baidu的图片搜索中常看到有些图片上面写着诸如“此图片仅供……用户交流”，说明这些网站是已经发现了我们浏览器发出的请求为站外链接（而且是非伙伴站点的链接）。

防盗链有很多方案，比如一些网盘经常会对下载链接做手脚，给用户看到的链接都是处理过的，像skydriver生成的下载链接中就会包含一个时间戳的加密字符串，你拿到的url链接过了一天就废掉了（我也是刚发现这个问题，以前给别人的链接都不能用了。。。）。

不过本篇谈的是防图片盗链，图片资源在一个站点上被访问的频率应该是相当多的，如果采用timespan、token之类的方案对性能也是一种浪费，所以应该采用速度快又能防住大多数盗链情形的方法。我们模仿sina这种大站的做法，通过判断request响应头中的Refferer来筛选盗链连接。

（注意：Refferer是很容易被伪造的，所以对于重要资源还是应该使用其他方案）

效果预览

图一：站内引用图片资源，能够正常显示。图二：浏览器直接输入图片地址，被重定向到反盗链提示页面。图三：站外引用，被重定向到反盗链页面。

实现

a.通过自定义HttpHandler来处理对指定类型文件的处理，在ProcessRequest(HttpContext context)方法中判断Refferer，如果Refferer为空，说明是直接访问（比如用户将图片地址直接粘贴在地址栏中访问），如果Refferer的域名与Request中的域名相同说明是站内引用，如果Refferer的域名是伙伴站点，那么也应该允许，除此以外就应该拒绝。

b.关于参数配置：为实现逻辑与具体数据、参数之间的解耦，我们可以把伙伴站点列表以及重定向地址放在web.config配置文件中，这可以通过自定义ConfigurationSection来实现。

代码

CheckReffererHandler

CheckReffererHandler

namespace  Sopaco.Library.Web.AntiForgery
{
     ///   <summary>
     ///  检查是否为外站连接
     ///   </summary>
     public   class  CheckReffererHandler : IHttpHandler, IRequiresSessionState
    {
         #region  Fields
         private   string  _redirectPath  =   null ;
         private   static  IEnumerable < string >  _acceptedHostList;
         #endregion

         #region  Constructors & Initializer
         public  CheckReffererHandler()
        {
            Init();
        }
         private   void  Init()
        {
             if (_acceptedHostList  ==   null )
                rebuildAcceptedList();
        }
         #endregion

         #region  IHttpHandler 成员

         public   bool  IsReusable
        {
             get  {  return   false ; }
        }

         public   void  ProcessRequest(HttpContext context)
        {
            Uri uri  =  context.Request.UrlReferrer;
             if  (uri  ==   null ) // 如果是直接引用
                SendBackToForgery(context);
             else   if  (CheckIsHostSame(uri, context.Request.Url)) // 如果是站内引用
                SendAcceptBack(context, context.Request.Path);
             else   if (CheckFromAcceptedHost(uri)) // 对于站外引用,检查是否来源于伙伴站点
                SendAcceptBack(context, context.Request.Path);
             else // 对于非伙伴站点的处理
                SendBackToForgery(context);
        }

         #endregion
         #region  protected Helper Methods
         private   bool  CheckFromAcceptedHost(Uri uri)
        {
             return  _acceptedHostList.Where(p  =>  p.Equals(uri.Host, StringComparison.InvariantCultureIgnoreCase)).Count()  >   0 ;
        }

         private   bool  CheckIsHostSame(Uri host0, Uri host1)
        {
             return  host0.Host.Equals(
                host1.Host, StringComparison.InvariantCultureIgnoreCase);
        }
         private   void  SendBackToForgery(HttpContext context)
        {
             if (_redirectPath  ==   null )
            {
                _redirectPath  =  ConfigurationManager.AppSettings[ " backToForgeryUrl " ];
                 if  (_redirectPath  ==   null )
                {
                    context.Response.StatusCode  =   404 ;
                     return ;
                }
            }
            context.Response.Redirect(_redirectPath);
        }
         private   void  SendAcceptBack(HttpContext context,  string  virtualPath)
        {
             string  filePath  =  context.Server.MapPath(virtualPath);
             if  ( ! File.Exists(filePath))
            {
                context.Response.StatusCode  =   404 ;
                context.Response.StatusDescription  =   " 未找到文件： "   +  virtualPath;
                 return ;
            }
            context.Response.WriteFile(filePath);
        }
         private   static   void  rebuildAcceptedList()
        {
            SimpleSection section  =  ConfigurationManager.GetSection( " checkReffererHandler " )  as  SimpleSection;
            _acceptedHostList  =  section.Items.Items.Select(p  =>  p.Value);
        }
         #endregion
    }
}

 

配置文件部分节选

 

web.config节选

<!-- 声明自定义配置节  -->
     < section name = " checkReffererHandler "  
             type = " Sopaco.Library.EnterLib.ConfigurationSections.SimpleSection, Sopaco.Library.EnterLib, Version=1.0.0.0, Culture=neutral, PublicKeyToken=null "  
             allowLocation = " true "  allowDefinition = " Everywhere "  allowExeDefinition = " MachineToApplication "  restartOnExternalChanges = " true "  
             requirePermission = " true "   />

<!-- 配置数据 -->
   < checkReffererHandler >
     < items >
       <!-- 以下为允许外站引用的站点清单 -->
       < add name = " 1 "  value = " www.sopaco.net "   />
       < add name = " 2 "  value = " www.cnblogs.com "   />
       < add name = " 3 "  value = " live.spaces.com "   />
     </ items >
   </ checkReffererHandler >

 

自定义配置节相关代码

 

自定义配置节相关代码

namespace  Sopaco.Library.EnterLib.ConfigurationSections
{
     public   class  SimpleSection : ConfigurationSection
    {
        [ConfigurationProperty( " items " )]
        [ConfigurationCollection( typeof (SimpleItemsElement))]
         public  SimpleItemsElement Items
        {
             get  {  return   base [ " items " ]  as  SimpleItemsElement; }
             set  {  base [ " items " ]  =  value; }
        }
    }
}
namespace  Sopaco.Library.EnterLib.ConfigurationSections
{
     public   class  SimpleItemsElement : ConfigurationElementCollection
    {
         #region  Fields
        List < SimpleItemElement >  _items;
         #endregion
         protected   override  ConfigurationElement CreateNewElement()
        {
             return   new  SimpleItemElement();
        }

         protected   override   object  GetElementKey(ConfigurationElement element)
        {
             return  (element  as  SimpleItemElement).Name;
        }

         public  IList < SimpleItemElement >  Items
        {
             get
            {
                 if  (_items  ==   null )
                {
                    _items  =   new  List < SimpleItemElement > ();
                    RefreshItems();
                }
                 return  _items;
            }
        }

         public   void  RefreshItems()
        {
            _items.Clear();
             for ( int  i  =   0 ; i  <   base .Count; i += 1 )
            {
                _items.Add( base .BaseGet(i)  as  SimpleItemElement);
            }
        }
    }
}
namespace  Sopaco.Library.EnterLib.ConfigurationSections
{
     public   class  SimpleItemElement : ConfigurationElement
    {
        [ConfigurationProperty( " name " )]
         public   string  Name
        {
             get  {  return   base [ " name " ]  as   string ; }
             set  {  base [ " name " ]  =  value; }
        }
        [ConfigurationProperty( " value " )]
         public   string  Value
        {
             get  {  return   base [ " value " ]  as   string ; }
             set  {  base [ " value " ]  =  value; }
        }
    }
}

 

源代码下载链接：

 http://files.cnblogs.com/wJiang/refferer.rar