Apache Rewrite防盗链怎么配置？三个实用实例详解！

Apache Rewrite 模块是服务器管理中强大的工具，尤其在防盗链场景下，通过灵活的规则配置可有效保护网站资源被恶意盗用，以下从基础原理到实际案例，详细解析三类常见的 Apache Rewrite 防盗链实现方式，涵盖图片、视频及动态资源等不同类型，并附关键配置说明与注意事项。

基于 Referer 的图片资源防盗链

图片资源是网站被盗链的重灾区,因其加载需明确来源地址，通过 Referer 校验可有效限制非授权访问。

核心原理

HTTP 请求头中的 Referer 字段记录了请求来源页面，服务器可通过判断 Referer 是否为授权域名，拦截非法请求，需注意，Referer 可被客户端伪造，因此需结合其他手段（如 Token 验证）提升安全性。

配置示例

RewriteEngine On  
# 允许的授权域名（多个域名用 | 分隔，需转义 . 为 .）  
RewriteCond %{HTTP_REFERER} !^$  
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?alloweddomain.com [NC]  
RewriteCond %{HTTP_REFERER} !^http(s)?://(www.)?alloweddomain2.org [NC]  
# 拦截非法请求并返回自定义图片或 403 错误  
RewriteRule .(jpg|jpeg|png|gif|bmp)$ /error/403_forbidden.gif [NC,L]  

参数说明

• RewriteCond：匹配条件，!^$ 表示 Referer 不为空（允许浏览器直接访问图片），!^http(s)?://... 表示非授权域名。
• [NC]：不区分大小写，兼容不同格式的域名。
• [L]：最后一条规则，匹配后不再执行后续规则。
• .(jpg|...)：匹配常见图片格式，可根据需求扩展。

适用场景

适用于博客图片、产品展示图等静态资源，需定期更新授权域名列表，避免因业务变更导致合法访问被拦截。

基于 Token 验证的动态资源防盗链

对于视频、音频等大流量动态资源，仅靠 Referer 校验安全性不足，需结合 Token 机制实现更严格的访问控制。

核心原理

通过生成含有时效性和签名信息的 Token，将 Token 作为 URL 参数嵌入资源链接，服务器验证 Token 的有效性和合法性，仅允许携带有效 Token 的请求访问资源。

配置示例

RewriteEngine On  
# 提取 URL 中的 token 参数  
RewriteCond %{QUERY_STRING} ^token=([a-zA-Z0-9]+)$ [NC]  
# 验证 Token 是否有效（此处需结合后端逻辑，示例为伪代码）  
RewriteCond %{QUERY_STRING} !^token=[a-zA-Z0-9]+&expires=d+$ [NC]  
RewriteRule ^videos/.*.mp4$ - [F]  
# 允许携带有效 Token 的请求访问  
RewriteCond %{QUERY_STRING} ^token=[a-zA-Z0-9]+&expires=d+$  
RewriteCond %{TIME} >%{QUERY_STRING:expires} [NC]  
RewriteRule ^videos/.*.mp4$ - [F]  

实现步骤

1. 生成 Token：后端根据资源 ID、用户身份、过期时间等生成签名 Token，token=abc123&expires=1672531200。
2. 嵌入链接：前端资源链接需包含 Token 参数，如 http://example.com/videos/sample.mp4?token=abc123&expires=1672531200。
3. 服务器验证：通过 RewriteCond 提取并校验 Token 的签名和时效性，无效则返回 403 错误。

注意事项

• Token 需加密（如 HMAC-SHA256），防止被篡改。
• 过期时间不宜过长,建议不超过 24 小时。
• 需配合白名单机制,避免因 Token 泄露导致资源外链。

适用场景

在线教育视频、会员专享内容等高价值动态资源，可有效防止直接下载和盗链。

基于 IP 白名单的 API 接口防盗链

对于核心 API 接口，需限制仅允许特定 IP 地址（如合作方服务器、内部系统）访问，避免接口滥用和数据泄露。

核心原理

通过 RewriteCond 匹配客户端 IP 地址，若不在预设白名单内，则直接拒绝请求，需结合 mod_rewrite 和 mod_authz_host 模块实现。

配件示例

RewriteEngine On  
# 定义允许的 IP 白名单（单个或网段）  
RewriteCond %{REMOTE_ADDR} !^192.168.1.100$  
RewriteCond %{REMOTE_ADDR} !^10.0.0.0/24$  
RewriteCond %{REMOTE_ADDR} !^172.16..*$  
# 拦截非白名单 IP 对 API 的访问  
RewriteRule ^api/v1/.*$ - [F]  

参数说明

• %{REMOTE_ADDR}：获取客户端 IP 地址。
• !^192.168.1.100$：精确匹配单个 IP， 表示取反。
• !^10.0.0.0/24$：匹配网段，拒绝该网段外所有 IP。
• [F]：强制返回 403 Forbidden 错误。

增强方案

• 结合 Basic Auth：对白名单 IP 也需验证用户名和密码，提升安全性。
• 动态 IP 管理：通过数据库或配置文件存储白名单，避免频繁重启服务器。
• 访问日志：记录被拦截的请求 IP，便于追溯异常访问。

适用场景

支付接口、数据查询接口等核心业务接口，需严格限制访问来源，防止恶意调用。

三类防盗链方案对比

Apache Rewrite 防盗链需根据资源类型和安全需求选择合适方案：静态资源优先 Referer 校验，动态资源推荐 Token 验证，核心接口则建议 IP 白名单，实际部署中，需结合日志监控定期优化规则，避免误拦截合法请求，同时注意 HTTPS 环境下 Referer 的传递问题（部分浏览器可能不发送 HTTPS 到 HTTP 的 Referer），通过多维度防护，可有效提升网站资源安全性，降低服务器带宽压力。