防盗链

Posted 2020-11-20 wuxun1997

　　要说防盗链，得先说盗链。见名知义，盗链就是盗取别人的链接，最常见的就是盗图了。那么怎么防火防盗呢？传统的防盗链是通过http协议中的referer请求头来跟踪请求的来源，进而判断是否本站点的请求，从而达到防盗的目的。Referer长啥样？我用Fiddler抓了个包，看图

 

 

 

 

 

 

 

 

 

 

 

　　　　 　　

 

　　但目前更流行的防盗链方式是url签名，基本实现方案是针对请求参数签名，加入到url中，接收到该url后验证签名，通过则说明是自己人。参数的选取一般是个变量，比如时间戳、用户ID，签名算法一般是MD5。下面看个例子：

    public void action(HttpServletRequest request, HttpServletResponse response)
    {
        String purl = RequestTool.getParameter(ParamKeys.purl);
        
        // 获取原来的加密串
        String oldHash = RequestTool.getParameter(ParamKeys.safetyChainHashValue);
        
        // 获取session中保存的随机数
        String rands = (String)RequestTool.getSession().getAttribute(AttributeKeys.RANDOM_NUM);
        
        String msisdn = UserSession.getUserID(request);
        
        // 防盗链加密并加上随机数
        String hash = OrderHashTools.getSameUserHash(msisdn, rands);
        String newHash = SessionTools.encode(hash);
        
        // 防盗链校验通过，清空session中的随机数
        RequestTool.getSession().removeAttribute(AttributeKeys.RANDOM_NUM);
        
        OptResultBean resultBean = new OptResultBean();
        
        resultBean.setBackUrl(purl);
        
        // 如果防盗链不相等则跳通用的操作结果页
        if (StringTools.isEmpty(oldHash) || StringTools.isEmpty(newHash) || !StringTools.isEq(oldHash, newHash))
        {
            
            String sucMsg = PortalCacheManager.getParamValue("Anti_theft_chain_describe");
            resultBean.setResultMsg(sucMsg);
            RequestTool.getSession().setAttribute(AttributeKeys.OPERATE_RESULT, resultBean);
            
            // 跳通用的操作结果页
            String url = UrlTools.processForView(PreUrlConfig.getPreUrl(PreUrlConfig.OPERATE_RESULT_URL));
            
            RequestTool.sendRedirectAppendParams(url);
            return;
        }
        
        // 领取提示语
        String sucMsg = "";
        // 结果码
        String resultCode = "";
        
        Response resp =
            ((IserverService)ContextRegistry.getContextHolder().getContext().getBean("WlfService"))
                .exchangeCode("", "", "");
        if (Util.isNotEmpty(resp))
        {
            resultCode = resp.getResultCode();
            if (StringTools.isEq(resultCode, GET_KINDLE_SUCCESS))
            {
                // 领取成功
                sucMsg = resp.getPromptSuccess();
                resultBean.setResultMsg(sucMsg);
            }
            else if (StringTools.isEq(resultCode, GET_KINDLE_FAIL))
            {
                // 领取失败
                sucMsg = resp.getPromptFailure();
                resultBean.setResultMsg(sucMsg);
            }
        }
        
        RequestTool.getSession().setAttribute(AttributeKeys.OPERATE_RESULT, resultBean);
        // 跳通用的操作结果页
        String url = UrlTools.processForView(PreUrlConfig.getPreUrl(PreUrlConfig.OPERATE_RESULT_URL));
        
        RequestTool.sendRedirectAppendParams(url);
        
        return;
    }

　　看下加密算法：

    /**
     * 根据手机号获得防盗链key加随机数
     * @param msisdn 手机号
     * @param random 随机数
     * @return
     * @see [类、类#方法、类#成员]
     */
    public static String getSameUserHash(String msisdn,String random)
    {
        StringBuffer sb = new StringBuffer();
        sb.append(msisdn);
        sb.append(ENCRYPT_KEYS);
        sb.append(random);
        
        // 对字符串做MD5加密，再进行Base64编码
        return ThreeDes.base64AndMd5(sb.toString());
    }