利用referer防止盗链下载
2015-06-16 20:25
204 查看
一、首先了解下 referer 的原理
request.getHeader("referer")
在开发web程序的时候,有时我们需要得到用户是从什么页面连过来的,这就用到了referer。
它是http协议,所以任何能开发web程序的语言都可以实现,比如jsp中是:
request.getHeader("referer");
php是$_SERVER['HTTP_REFERER']。其他的我就不举例了(其实是不会其他的语言)。
那它能干什么用呢?我举两个例子:
1,防止盗连,比如我是个下载软件的网站,在下载页面我先用referer来判断上一页面是不是自己网站,如果不是,说明有人盗连了你的下载地址。
2,电子商务网站的安全,我在提交信用卡等重要信息的页面用referer来判断上一页是不是自己的网站,如果不是,可能是黑客用自己写的一个表单,来提交,为了能跳过你上一页里的javascript的验证等目的。
使用referer的注意事项:
如果我是直接在浏览器里输入有referer的页面,返回是null(jsp),也就是说referer只有从别的页面点击连接来到这页的才会有内容。
我做了个实验,比如我的referer代码在a.jsp中,它的上一页面是b.htm,c.htm是一个带有iframe的页面,它把a.jsp嵌在iframe里了。我在浏览器里输入b.htm的地址,然后点击连接去c.htm,那显示的结果是b.htm,
如果我在浏览器里直接输入的是c.htm那显示的是c.htm
referer是浏览器在用户提交请求当前页面中的一个链接时,将当前页面的URL放在头域中提交给服务端的,如当前页面为a.html,它里面有一个b.html的链接,当用户要访问b.html时浏览器就会把a.html作为referer发给服务端.
二、那么如何运用"referer" 来防止盗链下载呢
我们考虑了用filter实现
Java代码
public class DefendSteal implements Filter
{
protected FilterConfig filterConfig;
protected String[] allowsites;
protected String[] files;
public DefendSteal()
{
}
public void destroy()
{
}
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException
{
HttpServletRequest req = (HttpServletRequest)request;
HttpServletResponse res = (HttpServletResponse)response;
String suff = req.getRequestURL().substring(req.getRequestURL().lastIndexOf(".")+1);
System.out.println("referer:"+req.getHeader("referer"));
for(int j=0;j<this.files.length;j++){//判断是否有需要阻止的文件类型
if(suff.equalsIgnoreCase(this.files[j])){
if(req.getHeader("referer")==null||"".equals(req.getHeader("referer"))){//这种情况是直接访问实体文件,可防止下载
res.sendRedirect(req.getContextPath()+"/NotExist.html");
}else{
int i=0;
for(i=0;i<this.allowsites.length;i++){
if(req.getHeader("referer").indexOf(allowsites[i])>=0){
break;
}
}
if(i==this.allowsites.length){//不在允许站点列表里,则阻止,这种情况是盗链
res.sendRedirect(req.getContextPath()+"/NotExist.html");
}
}
break;
}
}
chain.doFilter(request, response);
}
public void init(FilterConfig filterConfig)
throws ServletException
{
this.filterConfig = filterConfig;
String strSite = filterConfig.getInitParameter("allowsite");
allowsites = strSite.split(";");
String strfile = filterConfig.getInitParameter("file");
files = strfile.split(";");
}
}
对应的web.xml文件配置如下:
Java代码
在web.xml中加下如下:
<filter>
<filter-name>DefendSteal</filter-name>
<filter-class>filters.DefendSteal</filter-class>
<init-param>
<param-name>allowsite</param-name>
<param-value>172.19.33.48;172.19.33.91</param-value>
</init-param>
<init-param>
<param-name>file</param-name>
<param-value>flv;gif</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>DefendSteal</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
Allowsite为否充访问的站点
File 为被监测的文件类型
附: 深入理解HTTP协议
http://www.blogjava.net/zjusuyong/articles/304788.html
request.getHeader("referer")
在开发web程序的时候,有时我们需要得到用户是从什么页面连过来的,这就用到了referer。
它是http协议,所以任何能开发web程序的语言都可以实现,比如jsp中是:
request.getHeader("referer");
php是$_SERVER['HTTP_REFERER']。其他的我就不举例了(其实是不会其他的语言)。
那它能干什么用呢?我举两个例子:
1,防止盗连,比如我是个下载软件的网站,在下载页面我先用referer来判断上一页面是不是自己网站,如果不是,说明有人盗连了你的下载地址。
2,电子商务网站的安全,我在提交信用卡等重要信息的页面用referer来判断上一页是不是自己的网站,如果不是,可能是黑客用自己写的一个表单,来提交,为了能跳过你上一页里的javascript的验证等目的。
使用referer的注意事项:
如果我是直接在浏览器里输入有referer的页面,返回是null(jsp),也就是说referer只有从别的页面点击连接来到这页的才会有内容。
我做了个实验,比如我的referer代码在a.jsp中,它的上一页面是b.htm,c.htm是一个带有iframe的页面,它把a.jsp嵌在iframe里了。我在浏览器里输入b.htm的地址,然后点击连接去c.htm,那显示的结果是b.htm,
如果我在浏览器里直接输入的是c.htm那显示的是c.htm
referer是浏览器在用户提交请求当前页面中的一个链接时,将当前页面的URL放在头域中提交给服务端的,如当前页面为a.html,它里面有一个b.html的链接,当用户要访问b.html时浏览器就会把a.html作为referer发给服务端.
二、那么如何运用"referer" 来防止盗链下载呢
我们考虑了用filter实现
Java代码
public class DefendSteal implements Filter
{
protected FilterConfig filterConfig;
protected String[] allowsites;
protected String[] files;
public DefendSteal()
{
}
public void destroy()
{
}
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException
{
HttpServletRequest req = (HttpServletRequest)request;
HttpServletResponse res = (HttpServletResponse)response;
String suff = req.getRequestURL().substring(req.getRequestURL().lastIndexOf(".")+1);
System.out.println("referer:"+req.getHeader("referer"));
for(int j=0;j<this.files.length;j++){//判断是否有需要阻止的文件类型
if(suff.equalsIgnoreCase(this.files[j])){
if(req.getHeader("referer")==null||"".equals(req.getHeader("referer"))){//这种情况是直接访问实体文件,可防止下载
res.sendRedirect(req.getContextPath()+"/NotExist.html");
}else{
int i=0;
for(i=0;i<this.allowsites.length;i++){
if(req.getHeader("referer").indexOf(allowsites[i])>=0){
break;
}
}
if(i==this.allowsites.length){//不在允许站点列表里,则阻止,这种情况是盗链
res.sendRedirect(req.getContextPath()+"/NotExist.html");
}
}
break;
}
}
chain.doFilter(request, response);
}
public void init(FilterConfig filterConfig)
throws ServletException
{
this.filterConfig = filterConfig;
String strSite = filterConfig.getInitParameter("allowsite");
allowsites = strSite.split(";");
String strfile = filterConfig.getInitParameter("file");
files = strfile.split(";");
}
}
对应的web.xml文件配置如下:
Java代码
在web.xml中加下如下:
<filter>
<filter-name>DefendSteal</filter-name>
<filter-class>filters.DefendSteal</filter-class>
<init-param>
<param-name>allowsite</param-name>
<param-value>172.19.33.48;172.19.33.91</param-value>
</init-param>
<init-param>
<param-name>file</param-name>
<param-value>flv;gif</param-value>
</init-param>
</filter>
<filter-mapping>
<filter-name>DefendSteal</filter-name>
<url-pattern>/*</url-pattern>
</filter-mapping>
Allowsite为否充访问的站点
File 为被监测的文件类型
附: 深入理解HTTP协议
http://www.blogjava.net/zjusuyong/articles/304788.html
相关文章推荐
- CXF restful webserice同时支持几种协议 json, xml
- js实现的省市县三级联动的最新源码
- VS2013默认打开HTML文件没有设计视图的解决办法
- Jquery 知识点总结
- 前端开发之观察者模式
- jquery知识点总结
- MVC5序列化Json时遇到的大小写问题及解决方法
- OC学习--JSON解析和XML解析
- JSTL的c:forEach标签(${status.index})
- 四个漂亮CSS样式表
- leetcode--CountCompleteTreeNodes
- js--小结②
- 一个基于jQuery的图片裁剪插件:Cropper
- 一、认识jQuery
- JsonUtil
- Why are very few schools involved in deep learning research? Why are they still hooked on to Bayesian methods?
- Exploring the 7 Different Types of Data Stories
- clips 前端 js 倒计时 获取验证码的按钮
- @import导入外部样式表与link链入外部样式表的区别
- 项目中js报错(取消js验证)