.net项目防止盗链的几种实现方案

项目背景

甲方本地化上线了我们系统之后，进行安全漏洞扫描

发现了一个问题：

我们的附件路径 直接通过站点 访问的 ，在未授权的模式下，可以直接随意替换路径里的文件内容，通过浏览器拼接链接的方式打开系统里的一些附件和图片内容

因为系统内部 站点 呈现附件 也都是通过这个方式拼接呈现的。

快速调整方案一：用了 授权认证 的方式，控制附件图片的访问 

需要在.net 代码的webconfig 文件里 添加 用户控制，这里deny 拒绝所有用户

<!--开启上传目录权限用户访问-->
 <location path="Upload">
 <system.web>
 <authorization>
 <deny users="?" />
 </authorization>
 </system.web>
 <!--移除文件缓存-->
 <system.webServer>
 <httpProtocol>
 <customHeaders>
 <add name="Cache-Control" value="no-cache" />
 </customHeaders>
 </httpProtocol>
 </system.webServer>
 </location>
 <!--取消权偏好设置文件的限访问-->
 <location path="Upload/BackgroundImg">
 <system.web>
 <authorization>
 <allow users="*" />
 </authorization>
 </system.web>
 </location>
 <!--取消权偏好设置文件的限访问-->
 <location path="Upload/LogoIcon">
 <system.web>
 <authorization>
 <allow users="*" />
 </authorization>
 </system.web>
 </location>

　　同时webcofig 里的 module 节点里 添加以下代码，以保证上面的文件访问规则，能正常执行。

<add name="FormsAuthenticationModule" type="System.Web.Security.FormsAuthenticationModule" />
 <remove name="UrlAuthorization" />
 <add name="UrlAuthorization" type="System.Web.Security.UrlAuthorizationModule" />
 <remove name="DefaultAuthentication" />
 <add name="DefaultAuthentication" type="System.Web.Security.DefaultAuthenticationModule" />

通过上述两段配置，可以快速实现 用户未登录的情况下，无法直接通过图片路径打卡图片，防止恶意获取信息。

方案一缺点：但其实这个不是最完善的方式，对于已经登录的用户，还是可以通过拼接链接，修改链接中的参数，直接渲染其他图片。

加强方案二：我们可以通过添加httphandler  对所有请求的 Referer 来源进行判断来 控制访问权限

　　　　　　可以结合方案一使用

using System;
using System.Web;
public class AntiLeechHandler : IHttpHandler
{
 private const string RefererKey = "Referer";
 private const string AllowedReferer = "http://www.yoursite.com";
 public void Dispose()
 {
 }
 public void ProcessRequest(HttpContext context)
 {
 string referer = context.Request.Headers[RefererKey];
 // 如果 Referer 为空或者不匹配允许的站点，则进行处理
 if (string.IsNullOrEmpty(referer) || !referer.StartsWith(AllowedReferer))
 {
 context.Response.Clear();
 context.Response.StatusCode = (int)System.Net.HttpStatusCode.NotFound; // 设置状态码为 404
 context.Response.End();
 }
 else
 {
 // 合法请求，继续处理
 string filePath = context.Server.MapPath(context.Request.Path);
 if (System.IO.File.Exists(filePath))
 {
 context.Response.ContentType = GetContentType(filePath);
 context.Response.WriteFile(filePath);
 }
 else
 {
 context.Response.StatusCode = (int)System.Net.HttpStatusCode.NotFound;
 }
 }
 }
 private string GetContentType(string filePath)
 {
 string extension = System.IO.Path.GetExtension(filePath).ToLower();
 switch (extension)
 {
 case ".jpg":
 case ".jpeg":
 return "image/jpeg";
 case ".png":
 return "image/png";
 case ".gif":
 return "image/gif";
 case ".pdf":
 return "application/pdf";
 // 可根据需要添加更多文件类型的 MIME 类型
 default:
 return "application/octet-stream";
 }
 }
 public bool IsReusable
 {
 get { return false; }
 }
}　

在 web.config 中添加以下配置，将所有请求指向该处理程序

<configuration>
 <system.web>
 <httpHandlers>
 <add verb="*" path="*" type="AntiLeechHandler" />
 </httpHandlers>
 </system.web>
</configuration>

也可以自定义 HTTP 模块判断Referer

自定义 HTTP 模块可以在请求处理管道的早期介入，进行更复杂的逻辑判断，如验证签名、检查时间戳等，以确保请求的合法性和安全性。示例代码如下

using System;
using System.Web;
public class WebHotlinkProtectionModule : IHttpModule
{
 private const string RefererKey = "Referer";
 private const string AllowedReferer = "http://www.yoursite.com";
 public void Dispose()
 {
 }
 public void Init(HttpApplication context)
 {
 context.PreSendRequestHeaders += (sender, e) =>
 {
 string referer = context.Request.Headers[RefererKey];
 // 如果 Referer 为空或者不匹配允许的站点，则进行处理
 if (string.IsNullOrEmpty(referer) || !referer.StartsWith(AllowedReferer))
 {
 context.Response.Clear();
 context.Response.StatusCode = (int)System.Net.HttpStatusCode.NotFound; // 设置状态码为 404
 context.Response.End();
 }
 };
 }
}

　　在 web.config 中注册自定义模块

<configuration>
 <system.web>
 <httpModules>
 <add name="WebHotlinkProtectionModule" type="WebHotlinkProtectionModule" />
 </httpModules>
 </system.web>
</configuration>

方案二缺点：因为可能存在 Referer  伪造，所以还是可能存在风险

加强方案三：对链接添加token ，通过失效控制和token 解析 防止盗链

  　　　　　　可以结合方案一和方案二使用

　　     方案三缺点：这个逻辑 目前考虑下来，可能对现有系统的调整会比较大，固还没有尝试。