网站防止恶意登录或防盗链的使用

时间 2019-12-12

原文原文链接

使用场景：明明引用了一个正确的图片地址，但显示出来的倒是一个红叉或写有“此图片仅限于网站用户交流沟通使用”之类的“假图片”。用嗅探软件找到了多媒体资源的真实地址用下载软件仍然不能下载。下载一些资源时老是出错，若是确认地址没错的话，大多数状况都是赶上防盗链系统了。常见的防盗链系统，通常使用在图片、音视频、软件等相关的资源上。css
实现原理：把当前请求的主机与服务器的主机进行比对，若是不同则就是恶意连接，反之则是正常连接。html
不说了，直接上代码：

String address=request.getHeader("referer"); //获取页面的请求地址
 String pathAdd=""; //定义空字符串
 if(address!=null){ //判断当前的页面的请求地址为空时
 URL urlOne=new URL(address);//实例化URL方法
 pathAdd=urlOne.getHost(); //获取请求页面的服务器主机
 }
 String address1=request.getRequestURL().toString(); //获取当前页面的地址
 String pathAdd1="";
 if(address1!=null){
 URL urlTwo=new URL(address1);
 pathAdd1=urlTwo.getHost(); //获取当前服务器的主机
 }
 if(!pathAdd.equals(pathAdd1)){ //判断当前页面的主机与服务器的主机是否相同 
 }

根据这个原理能够设置企业白名单

使用Request对象设置页面的防盗链

所谓的防盗链就是当你以一个非正常渠道去访问某一个Web资源的时候，服务器会将你的请求忽略而且将你的当前请求变为按正常渠道访问时的请求并返回到相应的页面，用户只有经过该页面中的相关操做去访问想要请求的最终资源。java
例如，你有一个访问某资源的网址，可是你事先不知道这个网址是有防盗链的，那么当你输入该网址时你可能会发现，并无立刻跳转到你想要的资源页面而是一些无关的信息页面，可是就是在这些信息页面中你发现有一个超连接或是其余操做能够跳转到你所访问的最终资源页面。浏览器
这就是防盗链技术了，好了来看一个具体应用：服务器

Request.java  
  
  
package net.csdn.request;import java.io.IOException;  
import java.io.PrintWriter;import java.util.Enumeration  
import javax.servlet.RequestDispatcher;  
import javax.servlet.ServletException;  
import javax.servlet.http.HttpServlet;  
import javax.servlet.http.HttpServletRequest;  
import javax.servlet.http.HttpServletResponse;  
public class Request extends HttpServlet {  
public void doGet(HttpServletRequest request, HttpServletResponse response)  
throws ServletException, IOException {getDoorChain(request, response);}  
  
    private void getDoorChain(HttpServletRequest request,  
            HttpServletResponse response) throws IOException {  
        String referer = request.getHeader("referer");  
        if(referer==null || !referer.endsWith("http://localhost:8080/Request/index.jsp")){  
            response.sendRedirect("http://localhost:8080/Request/index.jsp");  
            return;  
        }  
        response.setCharacterEncoding("utf-8");  
        response.setContentType("text/html;charset =utf-8");  
        PrintWriter pw = response.getWriter();  
        pw.write("喜剧片《东成西就》");  
    }  
public void doPost(HttpServletRequest request, HttpServletResponse response)  
            throws ServletException, IOException {  
        doGet(request, response);  
    }  
  
}

index.jsp  
  
<%@ page language="java" import="java.util.*" pageEncoding="utf-8"%>  
<%  
String path = request.getContextPath();  
String basePath = request.getScheme()+"://"+request.getServerName()+":"  
+request.getServerPort()+path+"/";  
%>  
  
<!DOCTYPE HTML PUBLIC "-//W3C//DTD HTML 4.01 Transitional//EN">  
<html>  
  <head>  
    <base href="<%=basePath%>">  
      
    <title>My JSP 'index.jsp' starting page</title>  
    <meta http-equiv="pragma" content="no-cache">  
    <meta http-equiv="cache-control" content="no-cache">  
    <meta http-equiv="expires" content="0">      
    <meta http-equiv="keywords" content="keyword1,keyword2,keyword3">  
    <meta http-equiv="description" content="This is my page">  
    <!-- 
    <link rel="stylesheet" type="text/css" href="styles.css"> 
    -->  
  </head>  
    
  <body>  
  这里是防盗链技术的应用检测！ <br>  
  <a href ="/Request/Request" >喜剧片 </a>  
    
  </body>  
</html>

例如我最终想要经过http://lcoalhost:8080/Request/Request这个网址获取到我想要的《东成西就》的资源但是当我真正的输入这个网址时，却转到了： http://localhost:8080/Request/index.jsp这个页面jsp
只有当你点击“喜剧片”这个超连接时才会真正的获得你想要的资源页面网站

什么是Referer？

这里的 Referer 指的是HTTP头部的一个字段，也称为HTTP来源地址（HTTP Referer），用来表示从哪儿连接到目前的网页，采用的格式是URL。换句话说，借着 HTTP Referer 头部网页能够检查访客从哪里而来，这也常被用来对付伪造的跨网站请求。

什么是空Referer，何时会出现空Referer？

首先，咱们对空Referer的定义为，Referer 头部的内容为空，或者，一个HTTP请求中根本不包含Referer头部。ui
那么何时HTTP请求会不包含Referer字段呢？根据Referer的定义，它的做用是指示一个请求是从哪里连接过来，那么当一个请求并非由连接触发产生的，那么天然也就不须要指定这个请求的连接来源。url
好比，直接在浏览器的地址栏中输入一个资源的URL地址，那么这种请求是不会包含Referer字段的，由于这是一个“凭空产生”的HTTP请求，并非从一个地方连接过去的。spa

在防盗链设置中，容许空Referer和不容许空Referer有什么区别？
在防盗链中，若是容许包含空的Referer，那么经过浏览器地址栏直接访问该资源URL是能够访问到的；
但若是不容许包含空的Referer，那么经过浏览器直接访问也是被禁止的。
欢迎关注 http://yunlong.gihub.io