为什么需要防盗链？绕过“直接屏蔽”的陷阱
当你的网站图片、视频、API接口被人直接复制URL嵌入到其他页面时，你的CDN流量会无端暴涨，而对方不花一分钱。多数人第一反应是“加Referer黑白名单”，但这东西一戳就破——空Referer、伪造Referer分分钟绕过。真正有效的防线是时间戳防盗链（URL鉴权）和IP黑白名单的组合拳。本文不讲大道理，直接拆解配置步骤与日常运维中的坑。
时间戳防盗链：防伪防篡改的基石
原理：给资源URL加一道“签名锁”
时间戳防盗链（又称URL鉴权）的核心是：CDN节点收到请求后，校验URL中携带的过期时间和签名是否合法。签名通常由用户密钥（key）、资源路径、过期时间戳经过MD5或HMAC-SHA1计算得到。如果签名不匹配或时间已过，CDN返回403。
这样即使URL被复制，对方拿到的也是带时间限制的临时链接，过期即失效。
主流CDN的配置方式（以阿里云CDN为例）
第一步：开启鉴权
- 登录CDN控制台，进入域名管理，选择“访问控制”→“URL鉴权”。
- 鉴权类型选“type A”（常见），设置主密钥（建议32位随机字符串），备份密钥也填上。
- 生效时间建议设置2-15分钟（根据资源更新频率调整）。
第二步：生成鉴权URL（后端实现）
示例逻辑（伪代码）：
path = /images/logo.png
expire_time = current_timestamp + 3600 # 1小时后过期
md5_string = md5(${key} ${path} ${expire_time})
signature = substr(md5_string, 0, 16)
final_url = ${cdn_domain}${path}?auth_key=${expire_time}-${signature}
注意：不同CDN的签名拼接顺序有差异，务必参照文档。以阿里云type A为例：签名串为md5(${private_key} + ${uri} + ${timestamp})，其中uri是完整路径（包含参数）。
验证与回滚
配置后，直接用浏览器打开原始URL（不带鉴权参数），应返回403。带上正确的鉴权参数可正常访问。如果页面所有资源都失败，先检查密钥是否一致，再核对签名算法中uri是否包含查询字符串。回滚只需关闭“URL鉴权”开关，瞬间恢复。
风险与误区
- 时间同步问题：服务器时间不准会导致签出的URL立刻过期。建议服务器使用NTP同步，并允许5分钟误差。
- 多参数包含：如果原URL已有查询参数（如
?ver=1），部分CDN会要求uri必须包含原有参数。否则签名会按无参数计算，客户端带上参数后签名不匹配。 - 加密代理不适用：对于通过HTTPS回源的场景，密钥在传输中仍属安全，但密钥本身不能泄露。
IP黑白名单：精准封杀与意外误伤
何时用白名单？何时用黑名单？
白名单：适合仅允许内部系统、API网关、特定合作伙伴IP访问，对公网开放不适用。白名单一旦配置，非名单内IP直接拒绝，能100%防止外链，但会误伤移动端用户（IP变动大）。
黑名单：用于封杀已知的恶意爬虫、盗用IP段。例如发现某个云服务商IP大量刷流量，将其IP段加入黑名单。黑名单不会影响普通用户，但恶意方换IP后需要持续更新。
配置实战（腾讯云CDN为例）
白名单场景：公司内部系统通过CDN加速后台API，只允许公司出口IP访问。
- 在“访问控制”->“IP黑/白名单”中，选择“白名单”模式。
- 输入公司公网IP（如有多个用逗号或换行分隔），支持CIDR网段（如
192.168.0.0/24只适用于内网需注意实际公网）。 - 保存后立即生效。测试：用家庭宽带访问URL，返回403；用公司网络（需确认IP）正常访问。
黑名单场景：日志显示某IP段（如172.16.0.0/12）频繁请求，但该段属于电信运营商某地区，误封可能导致用户投诉。建议先使用CDN的“访问频率限制”功能，再结合黑名单仅对极端行为使用。
验证与回滚
配置后需清除CDN缓存（部分CDN需要等待5分钟策略生效）。使用curl指定来源IP测试：curl --header 'X-Forwarded-For: 1.2.3.4' https://yourdomain.com/file（注意CDN可能不信任客户端传的X-Forwarded-For，需用真实IP）。推荐用不同宽带运营商的多台机器测试。
回滚操作很简单：将模式改为“关闭”即可。
隐患与应对
- IP变化频繁：手机用户每次切换基站IP都可能变，白名单不要用于公共资源。
- CDN边缘节点IP问题：如果你的回源服务器做了IP限制，注意客户访问的是CDN节点IP，不是真实客户端IP。需要在CDN侧开启“客户端IP透传”（如通过X-Forwarded-For），然后限制只能从CDN节点IP回源。
- IPv6兼容性：务必同时添加IPv6地址段，否则IPv6用户被误封。
组合使用：层级防御的最佳实践
单一防护总有缺陷。推荐架构：
- 开放层：时间戳防盗链（必开），所有资源URL必须带签名，过期时间按内容类型区分（图片可长些，API可短至5分钟）。
- 限制层：针对特定敏感资源（如付费视频TS文件）再叠加IP白名单，仅允许CDN边缘节点IP回源。
- 兜底层：CDN侧开启“Referer认证”作为辅助（仅过滤普通爬虫），但绝不依赖。
线上验证与监控
配置上线后不要只看“能打开”，要模拟盗链：
- 复制图片URL到其他网站，通过浏览器打开，应显示403或空白。
- 用爬虫工具（如curl）不计Referer，应无响应。
- 监控CDN日志中的“403占比”，正常应该小于1%。如果突然飙升，检查密钥是否轮换导致客户端旧链接失效。
总结
时间戳防盗链解决了“链接泄露后无法控制时效”的问题，IP黑白名单则在“已知恶意来源”处精准阻断。两者互补，配合合理的过期时间和密钥管理，能有效抵御90%以上的盗链攻击。记住：没有绝对的安全，但正确的初始配置和持续的日志分析，可以让你的CDN流量不被“偷走”。
延伸阅读