使用Nginx构建防盗链、资源防盗服务（如CSDN积分下载服务）

前言

大家都知道现在很多站点下载资料都是要收费的&＃xff0c;无论是积分还是金币&＃xff0c;想免费只能说很少很少了&＃xff0c;那么这些网站是如何做到资源防盗链的呢&＃xff1f;

这里推荐一款比较容易上手的神器&＃xff0c;Nginx本身提供了secure_link来完成防盗链功能&＃xff0c;可以给服务器文件链接添加时间戳和校验码&＃xff0c;从而保护服务器文件不被任意下载盗用。

注&＃xff1a;应用服务器后台进行扣除积分逻辑&＃xff0c;大家可自行分析CSDN下载地址。

Nginx配置

如何安装Nginx这里不再赘述&＃xff0c;安装的时候记得开启 ngxhttpsecurelinkmodule 即可。

./configure --with-http_secure_link_module

安装完成检测&＃xff1a;

nginx  -V

如果出现以下说明配置成功&＃xff1a;

configure arguments: --with-http_secure_link_module --prefix&＃61;/usr/local/nginx --with-http_stub_status_module

实例配置

server {listen       80;server_name  download.52itstyle.com;charset utf-8;location / {#这里配置了2个参数一个是md5&＃xff0c;一个是expiressecure_link $arg_md5,$arg_expires;#md5的哈希格式为 secret&＃43;url&＃43;expires,expires为时间戳单位s&＃xff0c;url为请求地址secure_link_md5 52itstyle$uri$arg_e;#这里我们的md5是我们按照secure_link_md5的方式计算的哈希&＃xff0c;secure_link会比对它计算的哈希值是否与我们的md5参数一致if ($secure_link &＃61; "") {#资源不存在或哈希比对失败return 402;}if ($secure_link &＃61; "0") {#失效超时return 405;}#重命名文件名add_header Content-Disposition "attachment;filename&＃61;$arg_f";alias  /data/site/down.52itstyle.com/;}error_page   500 502 503 504  /50x.html;error_page   402 405 /40x.html;location &＃61; /50x.html {root   html;}location &＃61; /40x.html {root   html;}
}

参数详解

secure_link

语法 : secure_link expression;

默认值&＃xff1a; 无

配置段&＃xff1a;http, server, location

expression由校验值和过期时间组成&＃xff0c;其中校验值将会与 securelinkmd5中的指定参数的MD5哈希值进行对比。

如果两个值不一致&＃xff0c;$securelink变量的值是空&＃xff1b;如果两个值一致&＃xff0c;则进行过期检查&＃xff1b;如果过期了&＃xff0c;则$securelink变量值是0&＃xff1b;如果没过期&＃xff0c;则为1。

如果链接是有时效性的&＃xff0c;那么过期时间用时间戳进行设置&＃xff0c;在MD5哈希值后面声明&＃xff0c;用逗号隔开。如果没有设置过期时间&＃xff0c;该链接永久有效。

securelinkmd5

语法 : securelinkmd5 expression;

默认值&＃xff1a; 无

配置段&＃xff1a;http, server, location

expression指定计算md5哈希值的参数&＃xff0c;该md5值将会和url中传递的md5值进行对比校验。

expression一般包含uri&＃xff08;如demo.com/s/link uri则为/s/link&＃xff09;以及加密 密钥secret

如该链接具有时效&＃xff0c;则expression需包含$securelinkexpires&＃xff0c;expression还可加入客户端信息&＃xff0c;如访问IP&＃xff0c;浏览器版本信息等。

Java后端配置(案例&＃xff0c;仅供参考)

import org.apache.commons.codec.binary.Base64;
import org.apache.commons.codec.digest.DigestUtils;
/**
* 生成加密連接
*/
public class SecureLink {private static String site &＃61; "https://down.52itstyle.com/";private static String secret &＃61; "52itstyle";public static String createLink(String path,String fileName){String time &＃61; String.valueOf((System.currentTimeMillis() / 1000) &＃43; 300); // 5分钟有效String md5 &＃61; Base64.encodeBase64URLSafeString(DigestUtils.md5(secret &＃43; path &＃43; time));String url &＃61; site &＃43; path &＃43; "?md5&＃61;" &＃43; md5 &＃43; "&expires&＃61;" &＃43; time &＃43; "&f&＃61;"&＃43;fileName;return url;}public static void main(String[] args) {//https://down.52itstyle.com/2018101025689452.pdf?md5&＃61;FnDYyFzCooI9q8sh1Ffkxg&expires&＃61;1539847995&f&＃61;分布式秒杀架构.pdfSystem.out.println(createLink("2018101025689452.pdf","分布式秒杀架构.pdf"));}
}

总结

整个加密过程有点对称加密的意思&＃xff0c;应用服务根据密钥生成加密地址&＃xff0c;Nginx代{过}{滤}理服务器进行解密校验&＃xff0c;如果通过则允许下载。

测试中还发现一个问题&＃xff0c;生成的链接有时会报超时失效&＃xff0c;可能是由于后端服务器和下载服务器时间不统一导致的&＃xff0c;同步更下系统时间即可&＃xff0c;

如果有做积分下载服务的小伙伴这的确是一个不错的选择&＃xff0c;需要注意的是一定要不定期的更换密钥&＃xff0c;防止泄露。

参考链接&＃xff1a;

http://nginx.org/en/docs/http/ngx_http_secure_link_module.html&＃xff1b;

https://www.52pojie.cn/thread-823778-1-14.html&＃xff1b;