平常運維工做中,設置防盜鏈的需求會常常碰到,這也是優化網站的一個必要措施。今天在此介紹Nginx中設置下載防盜鏈和圖片防盜鏈的操做~php
1、Nginx中下載防盜鏈的操做記錄
對於一些站點上的下載操做,有不少的下載來源不是本站,是迅雷、flashget, 源源不斷的帶寬,防盜鏈絕對是當務之急!使用來源判斷根本不靠譜,只能防止一些小白站點的盜鏈,迅雷之類的下載工具徹底無效;
若是是nginx配置的站點,可使用secure link來完美解決這個問題,遠離迅雷.css
如下Nginx的盜鏈配置,僅用於下載服務器的下載防盜鏈,不適用於圖片防盜鏈:
1)nginx的配置
[root@test-huanqiu ~]# cat /usr/local/nginx/conf/vhost/down.confhtml
server { listen 80; server_name x1.down.wangshibo.com; access_log /data/logs/nginx/x1.down.wangshibo.com.access.log main; index index.html index.php index.html; root /data/site/x1.down.wangshibo.com; location / { secure_link $arg_st,$arg_e; secure_link_md5 wangshibo.com$uri$arg_e; if ($secure_link = "") { return 403; } if ($secure_link = "0") { return 403; } } }
2)php下載頁面
[root@test-huanqiu ~]# cd /data/site/x1.down.wangshibo.com
[root@test-huanqiu x1.down.wangshibo.com]# cat down.php
<?php
# 做用:生成nginx secure link連接
# 站點:www.wangshibo.com
$secret = 'wangshibo.com'; # 密鑰
$path = '/web/nginx-1.4.2.tar.gz'; # 下載文件
# 下載到期時間,time是當前時間,300表示300秒,也就是說從如今到300秒以內文件不過時
$expire = time()+300;
# 用文件路徑、密鑰、過時時間生成加密串
$md5 = base64_encode(md5($secret . $path . $expire, true));
$md5 = strtr($md5, '+/', '-_');
$md5 = str_replace('=', '', $md5);
# 加密後的下載地址
echo '<a href=http://x1.down.wangshibo.com/web/nginx-1.4.2.tar.gz?st='.$md5.'&e='.$expire.'>nginx-1.4.2</a>';
echo '<br>http://x1.down.wangshibo.com/web/nginx-1.4.2.tar.gz?st='.$md5.'&e='.$expire;
?>node
3)測試nginx防盜鏈
瀏覽器上打開http://test.wangshibo.com/down.php點擊上面的鏈接下載
下載地址以下:
http://x1.down.wangshibo.com/web/nginx-1.4.2.tar.gz?st=LSVzmZllg68AJaBmeK3E8Q&e=1378881984
頁面不要刷新,等到5分鐘後在下載一次,你會發現點擊下載會跳轉到403頁面。nginx
4)secure link 防盜鏈過程
1.用戶訪問down.php
2.down.php根據secret密鑰、過時時間、文件uri生成加密串
3.將加密串與過時時間做爲參數跟到文件下載地址的後面
4.nginx下載服務器接收到了過時時間,也使用過時時間、配置裏密鑰、文件uri生成加密串
5.將用戶傳進來的加密串與本身生成的加密串進行對比,一致容許下載,不一致403
整個過程實際上很簡單,相似於用戶密碼驗證. 尤其注意的一點是必定不要泄露了本身的密鑰,不然別人就能夠盜鏈了,除了泄露以外最好能常常更新密鑰.web
5)secure link 指令
1.secure_link
語法: secure_link md5_hash[,expiration_time]
默認: none
配置段: location
variables: yes
這個指令由uri中的MD5哈希值和過時時間組成. md5哈希必須由base64加密的,過時時間爲unix時間.若是不加過時時間,那麼這個鏈接永遠都不會過時.
2.secure_link_md5
語法: secure_link_md5 secret_token_concatenated_with_protected_uri
默認: none
配置段: location
variables: yes
md5值對比結果,使用上面提供的uri、密鑰、過時時間生成md5哈希值.若是它生成的md5哈希值與用戶提交過來的哈希值一致,那麼這個變量的值爲1,不然爲0
3.secure_link_secret
語法: secure_link_secret word
默認:
配置段: location
Reference: secure_link_secret
nginx 0.8.50以後的版本已經使用secure_link_md5取代,不在多說.正則表達式
注意事項
1.密鑰防止泄露、以及常常更新密鑰
2.下載服務器和php服務器的時間不能相差太大,不然容易出現文件一直都是過時狀態.express
secure link以及內置到了nginx,不須要額外安裝第三方模塊,有下載服務器的狀況,極力推薦使用它,除非你不在意你的帶寬.vim
6)珍愛帶寬,遠離迅雷
還能夠配置nginx,讓nginx防止迅雷、快車的多線程下載:
做用域: server location
if ($http_range)
{
return 405;
}瀏覽器
這樣給用戶端的第二個線程返回405,只讓nginx單線程給用戶吐數據。
2、Nginx中圖片防盜鏈的操做記錄
圖片防盜鏈和下載防盜鏈使用的指令不一樣,下載防盜鏈使用secure link,而且須要程序配合,可是效果很是好;而圖片防盜鏈不須要程序配合,根據圖片來源來實現,可是隻能先限制基本的圖片盜用,沒法防止圖片採集.
nginx referer指令簡介
nginx模塊ngx_http_referer_module一般用於阻擋來源非法的域名請求.咱們應該牢記,假裝Referer頭部是很是簡單的事情,因此這個模塊只能用於阻止大部分非法請求.咱們應該記住,有些合法的請求是不會帶referer來源頭部的,因此有時候不要拒絕來源頭部(referer)爲空的請求.
nginx防盜鏈指令
1)語法: referer_hash_bucket_size size;
默認值: referer_hash_bucket_size 64;
配置段: server, location
這個指令在nginx 1.0.5中開始出現.
2)語法: referer_hash_max_size size;
默認值: referer_hash_max_size 2048;
配置段: server, location
這個指令在nginx 1.0.5中開始出現.
3)語法: valid_referers none | blocked | server_names | string ...;
默認值: —
配置段: server, location
指定合法的來源'referer', 它決定了內置變量$invalid_referer的值,若是referer頭部包含在這個合法網址裏面,這個變量被設置爲0,不然設置爲1.記住,不區分大小寫的.
參數說明
none:「Referer」 來源頭部爲空的狀況,即表示空的來路,也就是直接訪問,好比直接在瀏覽器打開一個圖片
blocked:「Referer」來源頭部不爲空,可是裏面的值被代理或者防火牆刪除了,這些值都不以http://或者https://開頭.即表示被防火牆標記過的來路
server_names:「Referer」來源頭部包含當前的server_names(當前域名)
string:任意字符串,定義服務器名或者可選的URI前綴.主機名可使用*開頭或者結尾,在檢測來源頭部這個過程當中,來源域名中的主機端口將會被忽略掉
regular expression:正則表達式,~表示排除https://或http://開頭的字符串.
注意:
圖片使用來源頭部作防盜鏈是最合理的. 簡單、實用。可是沒有辦法防採集。
圖片防盜鏈的配置有三種方法,下面一一介紹:
1)針對不一樣文件類型的防盜鏈:
配置示例1:
location ~* \.(gif|jpg|png|bmp)$ {
valid_referers none blocked *.wangshibo.com server_names ~\.google\. ~\.baidu\.;
if ($invalid_referer) {
return 403;
#rewrite ^/ http://www.wangshibo.com/403.jpg;
}
}
配置說明:
以上全部來至wangshibo.com和域名中包含google和baidu的站點均可以訪問到當前站點的圖片
若是來源域名不在這個列表中,那麼$invalid_referer等於1,在if語句中返回一個403給用戶,這樣用戶便會看到一個403的頁面;
若是使用下面的rewrite,那麼盜鏈的圖片都會顯示403.jpg;
若是用戶直接在瀏覽器輸入你的圖片地址,那麼圖片顯示正常,由於它符合none這個規則.
配置示例2:
location ~ .*\.(wma|wmv|asf|mp3|mmf|zip|rar|jpg|gif|png|swf|flv)$ {
valid_referers none blocked *.wangshibo.com wangshibo.com;
if($invalid_referer){
#rewrite ^/ http://www.765h.com/error.html;
return 403;
}
}
配置說明:
第一行:表示對wma|wmv|asf|mp3|mmf|zip|rar|jpg|gif|png|swf|flv後綴的文件實行防盜鏈
第二行:表示對*.wangshibo.com和wangshibo.com這2個來路進行判斷(*表明任何,任何的二級域名),能夠添加更多
if{}裏面內容的意思是,若是來路不是指定來路就跳轉到403錯誤頁面,固然直接返回404也是能夠的,也能夠是圖片。
通常經常使用的圖片防盜鏈的方法是在server或者location段中加入:
valid_referers none blocked www.wangshibo.com wangshibo.com;
如上面的兩個小示例能起到必定的圖片防盜鏈功能,但其實並非真正的完全的防盜鏈設置。
通常來講:
作好防盜鏈以後,其餘網站盜鏈的本站圖片就會所有失效沒法顯示,可是若是經過瀏覽器直接輸入圖片地址,仍然會顯示圖片,仍然能夠右鍵圖片另存爲下載文件!
依然能夠下載?這樣就不是完全的防盜了!那麼,nginx應該怎麼樣完全地實現真正意義上的防盜鏈呢?
首先,來看下nginx如何設置防盜鏈?
修改 /usr/local/nginx/conf/nginx.conf 這個配置文件:
默認圖片是有過時時間設置的
[root@bastion-IDC ~]# vim /usr/local/nginx/conf/nginx.conf
location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ {
expires 30d;
}
把上面的配置修改爲:
[root@bastion-IDC ~]# vim /usr/local/nginx/conf/nginx.conf
location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ {
valid_referers none blocked *.wangshibo.com wangshibo.com;
if($invalid_referer) {
rewrite ^/ http://www.wangshibo.com/404.jpg;
#return404;
}
expires 30d;
}
配置解說:
第一行:location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$
其中「gif|jpg|jpeg|png|bmp|swf」設置防盜鏈文件類型,自行修改,每一個後綴用「|」符號分開!
第二行:valid_referers none blocked *.wangshibo.com wangshibo.com;
就是白名單,容許文件鏈出的域名白名單,自行修改爲您的域名!*.wangshibo.com這個指的是子域名,域名與域名之間使用空格隔開!
第四行:rewrite ^/ http://www.wangshibo.com/404.jpg;
這個圖片是盜鏈返回的圖片,也就是替換盜鏈網站全部盜鏈的圖片。這個圖片要放在沒有設置防盜鏈的網站上,由於防盜鏈的做用,這個圖片若是也放在防盜鏈網站上就會被看成防盜鏈顯示不出來了,盜鏈者的網站所盜鏈圖片會顯示X符號。
這樣設置差很少就能夠起到防盜鏈做用了,可是這樣並非完全地實現真正意義上的防盜鏈!
咱們來看第二行:valid_referers none blocked *.wangshibo.com wangshibo.com;
valid_referers 裏多了「none blocked」
咱們把「none blocked」刪掉,改爲:
valid_referers *.wangshibo.com wangshibo.com;
因此說:
nginx完全地實現真正意義上的防盜鏈完整的代碼應該是這樣的:
1.去掉valid_referers 後面的none blocked
2.防盜鏈和expires圖片過時時間設置整合到一塊兒。其實就是保證server段中只有一個相似location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$的配置
完整配置以下:
location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ { valid_referers *.wangshibo.com wangshibo.com; if($invalid_referer) { rewrite ^/ http://www.wangshibo.com/404.jpg; #return404; } expires 30d; }
這樣您在瀏覽器直接輸入圖片地址就不會再顯示圖片出來了,也不可能會再右鍵另存什麼的。
第四行:
rewrite ^/ http://www.wangshibo.com/404.jpg;
這個是給圖片防盜鏈設置的防盜鏈返回圖片
若是咱們是文件須要防盜鏈下載,把第四行改爲一個連接,好比能夠改爲是主站的連接
rewrite ^/ http://www.wangshibo.com;
這樣,當別人輸入文件下載地址,因爲防盜鏈下載的做用就會跳轉到您設置的這個連接!
最後,配置文件設置完成別忘記重啓nginx生效!
再看一例:
好比如今google首頁點擊廣告www.abc.com跳轉到www.baidu.com,可是直接在瀏覽器輸入www.abc.com,仍是www.abc.com
配置以下:
valid_referers none blocked localhost *.abc.com abc.com;
if ($invalid_referer){
rewrite ^/(.*) http://www.baidu.com/? permanent;
break;
}
------------------------------------------------------------------------------------------------------------------------------
實驗說明:
[root@test-huanqiu ~]# vim /usr/local/nginx/conf/vhosts/image.conf
server { listen 80 ; server_name 192.168.1.14 web01.wangshibo.cn; root /var/www/html; index index.html index.php index.htm; location ~* \.(gif|jpg|png|swf|flv)$ { valid_referers none blocked *.wangshibo.cn; if ($invalid_referer) { rewrite ^/ http://www.heihei.com/404.jpg; #return 404; } expires 30d; } location ~ .*\.(php|php5)?$ { #fastcgi_pass unix:/tmp/php-cgi.sock; fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; include fastcgi.conf; } access_log /usr/local/nginx/logs/image.log; }
注意第8行 "valid_referers none blocked"
其中"none" "blocked" 的意思分別是:
none表明沒有referer;
blocded表明有referer可是被防火牆或者是代理給去除了。
以上配置後,訪問的跳轉流程:
1)首先當輸入要打開的網址的時候,由於是直接輸入的沒有referer,因此匹配了valid_referers後面的none或者是blocked,invalid_referer值爲0,所以不進行跳轉.
2)當是從這個網站裏面的連接跳到該網站首頁的時候,由於referer的值是確定包含srever_names,因此匹配了server_names,所以不進行跳轉;
3)當從搜素引擎進去的時候由於referer字段相似於www.google.com.hk/search,開始進行匹配,發現沒有一個匹配,則此時會設置invalid_referer值爲1,if語句成功執行,進行了跳轉. 達到功能!
[root@test-huanqiu ~]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@test-huanqiu ~]# /usr/local/nginx/sbin/nginx -s reload
只有把這兩個none,blocked去掉,才能夠真正的實現防盜連!由於只有匹配到server_name的時候,纔不會進行跳轉。以下說明:
[root@master-node html]# ll /var/www/html/
total 16
-rw-r--r-- 1 www www 143 Dec 14 11:34 index.html
-rw-r--r-- 1 www www 10571 Dec 14 11:35 long.jpg
[root@master-node html]# cat /var/www/html/index.html
<html> <body> <h1>"王士博",welcome to beijing!! </h1> <img alt="long.jpg" src="/long.jpg" height="auto" width="auto"></img> </body> </html>
訪問,看看效果:
接真輸入圖片地址能夠顯示圖片:
如今將none,blocked去掉,看看效果:
[root@test-huanqiu ~]# vim /usr/local/nginx/conf/vhosts/image.conf
server { listen 80 ; server_name 192.168.1.14 web01.wangshibo.cn; root /var/www/html; index index.html index.php index.htm; location ~* \.(gif|jpg|png|swf|flv)$ { valid_referers *.wangshibo.cn; if ($invalid_referer) { rewrite ^/ http://www.heihei.com/404.jpg; #return 404; } expires 30d; } location ~ .*\.(php|php5)?$ { #fastcgi_pass unix:/tmp/php-cgi.sock; fastcgi_pass 127.0.0.1:9000; fastcgi_index index.php; include fastcgi.conf; } access_log /usr/local/nginx/logs/image.log; }
[root@test-huanqiu ~]# /usr/local/nginx/sbin/nginx -t
nginx: the configuration file /usr/local/nginx/conf/nginx.conf syntax is ok
nginx: configuration file /usr/local/nginx/conf/nginx.conf test is successful
[root@test-huanqiu ~]# /usr/local/nginx/sbin/nginx -s reload
再次訪問
當再次訪問http://web01.wangshibo.cn/long.jpg時就會跳轉到http://www.heihei.com/404.jpg(測試時,記得刪除瀏覽器緩存。nginx中有圖片緩存配置)
這樣就實現了完美的防盜鏈!!
另外注意:
1)請確保server段中只有一個location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$(好比還有另外的一個針對expires過時時間的這樣的location配置,那麼必需要將其和防盜鏈的location整合到一塊兒),不然可能致使代碼無效,若有這個代碼段請合併或刪除。
2)切記:若是要跳轉到圖片,記得替換的圖片地址要使用沒有防盜鏈的網站圖片,不然因爲替換的圖片其實也處於防盜鏈狀況下,會形成仍舊沒法顯示設置的圖片。
------------------------------------------------------------------------------------------------------------------------------
2)針對目錄的防盜鏈:( 這是nginx自帶的防盜鏈功能。)
location /img/ {
root /data/img/;
valid_referers none blocked *.wangshibo.com wangshibo.com;
if($invalid_referer){
rewrite ^/ http://www.wangshibo.com/images/error.gif;
#return 403;
}
}
location /images/ {
alias /data/images/;
valid_referers none blocked server_names *.wangshibo.com wangshibo.com ;
if ($invalid_referer) {
return 403;
}
}
3)使用第三方模塊ngx_http_accesskey_module實現的防盜鏈:
1.下載Nginx和nginx-http-access模塊
http://nginx.org/download/nginx-1.8.0.tar.gz
http://wiki.nginx.org/File:Nginx-accesskey-2.0.3.tar.gz
2.安裝
[root@test-huanqiu ~]# tar -zxvf nginx-1.8.0.tar.gz
[root@test-huanqiu ~]# cd nginx-1.8.0/
[root@test-huanqiu ~]# tar -xvfz nginx-accesskey-2.0.3.tar.gz
[root@test-huanqiu ~]# cd nginx-accesskey-2.0.3
[root@test-huanqiu nginx-accesskey-2.0.3]# vim config
#替換其中的」$HTTP_ACCESSKEY_MODULE」爲」ngx_http_accesskey_module」 (這是此模塊的一個bug)
接着編譯安裝nginx
[root@test-huanqiu nginx-1.8.0]# ./configure --user=www --group=www --prefix=/usr/local/nginx --with-http_stub_status_module --with-http_ssl_module --add-module=/root/nginx-accesskey-2.0.3
配置nginx:
location /download {
accesskey on;
accesskey_hashmethod md5;
accesskey_arg "key";
accesskey_signature "mypass$remote_addr";
}
配置說明:
accesskey爲模塊開關;
accesskey_hashmethod爲加密方式MD5或者SHA-1;
accesskey_arg爲url中的關鍵字參數;
accesskey_signature爲加密值,此處爲mypass和訪問IP構成的字符串。
編寫測試腳本download.php:
<?
$ipkey= md5("mypass".$_SERVER['REMOTE_ADDR']);
$output_add_key="<a href=http://www.wangshibo.com/download/G3200507120520LM.rar?key=".$ipkey.">download_add_key</a><br />";
$output_org_url="<a href=http://www.wangshibo.com/download/G3200507120520LM.rar>download_org_path</a><br />";
echo $output_add_key;
echo $output_org_url;
?>
如上配置後:
訪問第一個download_add_key連接能夠正常下載,第二個連接download_org_path會返回403 Forbidden錯誤。
若是不怕麻煩,有條件實現的話,推薦使用第三方模塊ngx_http_accesskey_module實現的防盜鏈。
它的運行方式是:
好比download目錄下有一個 file.zip 的文件。對應的URI 是http://www.wangshibo.com/download/file.zip
使用ngx_http_accesskey_module模塊後http://www.wangshibo.com/download/file.zip?key=09093abeac094. 只有給定的key值正確了,纔可以下載download目錄下的file.zip。並且 key 值是根據用戶的IP有關的,這樣就能夠避免被盜鏈了。
聽說Nginx HttpAccessKeyModule如今連迅雷均可以防了,能夠嘗試一下。
--------------------------------------------------------------------------------------------圖片訪問地址操做記錄------------------------------------------------------------------------------
1)需求:配置一個圖片上傳下載的需求,及在nginx裏配置一個url,用於圖片上傳和下載。 直接配置本機的nginx # vim vhosts/images.conf server { listen 80; server_name images.wang.com; index index.html index.php index.htm; server_tokens off; access_log logs/ehr_access.log; error_log logs/ehr_error.log; location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ { expires 7d; //過時時間 root /data/nginx/images/; proxy_store on; proxy_store_access user:rw group:rw all:rw; proxy_temp_path /data/nginx/images/; //存放圖片的目錄 proxy_redirect off; proxy_set_header Host 127.0.0.1; client_max_body_size 100m; //圖片上傳的大小限制 client_body_buffer_size 256k; proxy_connect_timeout 900; proxy_send_timeout 900; proxy_read_timeout 900; proxy_buffer_size 40k; proxy_buffers 40 320k; proxy_busy_buffers_size 640k; proxy_temp_file_write_size 640k; } location ~ .*\.(js|css)?$ { expires 12h; } } 這樣: 圖片上傳和下載的url爲:http://images.wang.com, 圖片存放的目錄爲/data/nginx/images/ 2)需求:在tomcat裏部署一個用於圖片上傳和下載的目錄,而後在nginx裏配置圖片訪問的url。 先配置本機的tomcat # cat /data/tomcat7/conf/server.xml ....... <Host ..... ..... <Context path="/file" docBase="/data/tomcat7/ehrbak" debug="0" reloadable="true"/> //這一行寫在<Host </Host>之間 </Host> # mkdir /data/tomcat7/ehrbak 接着配置本機的nginx # cat /data/nginx/conf/vhosts/ehr.conf server { listen 80; server_name images.wang.com; index index.html index.php index.htm; server_tokens off; access_log logs/ehr_access.log; error_log logs/ehr_error.log; location ~ .*\.(gif|jpg|jpeg|png|bmp|swf)$ { expires 7d; root /data/tomcat7/ehrbak/; proxy_store on; proxy_store_access user:rw group:rw all:rw; proxy_temp_path /data/tomcat7/ehrbak/; proxy_redirect off; proxy_set_header Host 127.0.0.1; client_max_body_size 100m; client_body_buffer_size 256k; proxy_connect_timeout 900; proxy_send_timeout 900; proxy_read_timeout 900; proxy_buffer_size 40k; proxy_buffers 40 320k; proxy_busy_buffers_size 640k; proxy_temp_file_write_size 640k; } location ~ .*\.(js|css)?$ { expires 12h; } } 而後在前面的nginx代理層(即另外一臺機器上) [root@BJLX_4_21_P vhosts]# cat ssl-ehr.conf upstream ehr { server 172.29.34.27:8080 max_fails=3 fail_timeout=30s; } upstream download { server 172.29.34.27:80 max_fails=3 fail_timeout=30s; } server { listen 443; server_name images.wang.com; ssl on; server_tokens off; ### SSL log files ### access_log logs/ehr_access.log; error_log logs/ehr_error.log; ### SSL cert files ### ssl_certificate ssl/wang.cer; ssl_certificate_key ssl/wang.key; #ssl_session_timeout 5m; location /file/ { proxy_pass http://download/; proxy_next_upstream error timeout invalid_header http_500 http_502 http_503; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto https; proxy_redirect off; } } 這樣: 圖片訪問的url是:https://images.wang.com/file/*** 圖片存放的路徑是本機的/data/tomcat7/ehrbak/ 好比有一張圖片路徑爲/data/tomcat7/ehrbak/upload/201707/051622309x32.jpg 那麼這張圖片的訪問地址是:https://images.wang.com/file/upload/201707/051622309x32.jpg