作者|阿文
责编|郭芮
很多站长都会遇到一个很头疼的问题，那就是自己网站的资源经常被盗用，有文字、图片、视频、和二进制或压缩文件，这些资源被盗用后除了导致网站流量丢失之外、还会带来一些经济上的损失。
除了相关法律，例如《中华人民共和国著作权法》可以使版权或著作权所有者通过法律途径来约束和限制一些未经授权非法使用网站多媒体资源，我们还可以通过一些技术手段来约束访问者，使其无法随意盗取相关资源，下面我们就介绍下网站常用的防盗措施和其优势和劣势。
User-agent防盗
恒生电子：联盟链的创新空间应集中在如何更好地服务中小和小微企业方面:金色财经报道，6月23日，恒生电子区块链发展部运营经理林晗做客金色财经举办的“联盟链-创新场景应用的偶然与必然”为主题的金色沙龙第64期活动。林晗表示中国的区块链研究和专利成果，从一开始就比较集中在区块链技术的应用和落地，也就是产业区块链方面。现阶段联盟链适用于与具体细分产业相结合的场景，比如说产业金融领域，例如产业金融区块链平台范太链。联盟链的创新空间应是集中如何利用区块链解决小微企业的信任问题、更好提升小微企业运营效率来开展。因为区块链能解决的一个核心痛点是信任问题，与本身就具有信任背书能力的大企业相比，在产业中往往是小企业才需要解决信任问题。区块链作为一种划时代意义的记账技术，其最大的价值是应该被用来与实体产业结合，促进社会发展。[2021/6/23 0:00:23]
User-Agent首部包含了一个特征字符串，用来让网络协议的对端来识别发起请求的用户代理软件的应用类型、操作系统、软件开发商以及版本号。不同的浏览器客户端都会携带自己的user-agent，例如Chrome浏览器的user-agent是：
海德薇格：我很期待看到 数字货币将如何改变人民币支付市场:第十七届中国国际金融论坛于2020年12月17日-18日在上海举行。主题为“数字经济时代的金融服务”。国际银行业联合会（IBFed）总裁海德薇格?挪伦斯视频参会并致辞时指出：金融稳定委员会正在监测大科技公司的创新和金融稳定风险，并且已经发表了很多关于该主旨的文章，例如在2020年10月13日发表的一篇文章中，就提出了关于全球稳定币的10个高层建议。考虑到创新的规模之大，监管机构和监督机构都需要拓宽自己的视野，并且彼此之间开展更多合作。
中国监管机构一直在积极加强监管，以便随时应对大科技公司所引起的市场变化。例如，去年，中国人民银行就起草了相关规则，要求将银行和金融服务与金融控股公司旗下的科技公司分离，并对这些科技公司进行监管。 现在，要求支付公司必须有100%的存款准备金。
中国还率先推出了由国家信用支持的数字货币。我很期待看到这些数字货币将如何改变中国国内和境外的人民币支付市场。（新浪财经）[2020/12/17 15:29:42]
user-agent:Mozilla/5
美国货币监理署新署长：期望进一步了解银行与加密货币机构如何相互作用:美国货币监理署（OCC）新署长Brian Brooks表示，OCC正寻求与银行和加密货币机构的行业领袖进行更多的对话，期望了解如何进一步促进双方相互作用。他表示加密货币机构需要银行服务，他们需要跨银行通道进行交易的。他期望进一步了解有关加密货币对银行的需求以及银行对加密货币的需求，因为他们确实想在这方面有所作为。OCC是美国财政部的主要银行监管机构，Brooks于3月份离开Coinbase，加入OCC并担任首席法律官。（Cointelegraph）[2020/6/5]
但是这种办法并不能完全禁止掉一些请求，因为user-agent是客户定义的，以curl为例，如下所示。通过-H指定user-agent的请求头信息，如果对方恰好指定你的黑名单规则，则可以很轻松的绕过限制。
curl-H"User-Agent:xxxx"
referer防盗链
Referer首部包含了当前请求页面的来源页面的地址，即表示当前页面是通过此来源页面里的链接进入的。如下所示的requestheaders中，其referer为https://www
但是这种办法也并不能完全禁止掉一些域名请求，因为referer客户也是可以自定义的。以curl为例，如下所示，通过-H指定referer:XXXXX的请求头信息，就可以很轻松的绕过限制。
curl-H"referer:http://www.baidu.com"
IP防盗链
顾名思义，即对指定IP或IP段进行限制访问。例如一些爬虫经常频繁爬取网站资源，我们可以对其IP进行限制。
以nginx为例，nginx的ngxhttpaccess_module模块可以用来设置允许/禁止哪些IP或IP段访问：
allow1.1.1.1/24#允许IP段访问
denyall#禁止所有IP访问
token防盗链
上述的三种原生HTTP首部字段都能防止用户随意盗取资源，但是其劣势相当明显，比如都极容易被伪造。
以nginx为例安装secure_link模块，默认是没有安装的，要使用这个模块必须在编译时指定下列编译参数：
--with-http_secure_link_module
securelink防盗链原理：
用户访问资源；
服务器根据secret密钥、过期时间、文件uri生成加密串；
将加密串与过期时间作为参数跟到文件下载地址的后面；
nginx下载服务器接收到了过期时间，也使用过期时间、配置里密钥、文件uri生成加密串；
将用户传进来的加密串与自己生成的加密串进行对比，一致允许下载，不一致403。
具体的配置和使用可以参考https://nginx.org/en/docs/http/ngxhttpsecurelinkmodule.html。
当然除了这种方式，你也可以使用nginxlua来自行实现一些自定义的防盗链措施。
郑重声明： 本文版权归原作者所有， 转载文章仅为传播更多信息之目的， 如作者信息标记有误， 请第一时间联系我们修改或删除， 多谢。