答案是通过验证HTTP Referer并结合PHP脚本或服务器配置防止盗链。核心方法为：使用PHP脚本（如image.php）验证请求来源域名，允许指定域名访问图片，拒绝非法Referer请求；可处理空Referer为空时显示默认图或拒绝；相比Nginx防盗链，PHP更灵活但性能较低；还可结合Token、时间戳、IP限制、水印等增强安全；CDN环境下推荐使用CDN自带Referer或Token防盗链功能以确保有效性。
防止PHP图片盗链，核心在于验证请求的来源。简单来说，就是判断请求图片的HTTP Referer是否来自你的域名。如果不是，就拒绝提供图片。
解决方案
最常见的做法是通过PHP脚本来提供图片，而不是直接暴露图片URL。
-
创建图片访问脚本： 例如，创建一个名为
image.php的文件。 -
验证Referer： 在
image.php中，获取$_SERVER['HTTP_REFERER']，并检查它是否包含你的域名。 - 输出图片： 如果Referer验证通过，则读取并输出图片；否则，返回一个错误提示或默认图片。
-
修改HTML： 将HTML中的图片链接指向
image.php?image=图片路径。
下面是一个简单的例子：
立即学习“PHP免费学习笔记（深入）”；
<?php
$allowedDomains = ['yourdomain.com', 'www.yourdomain.com']; // 允许的域名
$referer = $_SERVER['HTTP_REFERER'] ?? ''; // 获取Referer，如果不存在则为空
$validReferer = false;
foreach ($allowedDomains as $domain) {
if (strpos($referer, $domain) !== false) {
$validReferer = true;
break;
}
}
if (!$validReferer) {
// 盗链处理：显示默认图片或返回错误信息
header('HTTP/1.1 403 Forbidden');
echo 'Access denied.';
exit;
}
// 获取图片路径
$imagePath = $_GET['image'] ?? '';
// 检查图片是否存在
if (!file_exists($imagePath)) {
header('HTTP/1.1 404 Not Found');
echo 'Image not found.';
exit;
}
// 获取图片类型
$imageInfo = getimagesize($imagePath);
$imageType = $imageInfo['mime'];
// 输出图片
header('Content-Type: ' . $imageType);
readfile($imagePath);
?>HTML中使用：
<img src="image.php?image=images/my_image.jpg" alt="My Image">
这个方法简单直接，但也有一些局限性，比如某些浏览器可能不发送Referer，或者用户可以伪造Referer。更高级的方案可以结合Token验证或其他服务器端验证机制。
如何处理Referer为空的情况？
Referer为空的情况确实会带来一些困扰。一种比较折中的方法是，允许Referer为空的请求访问，但这会降低安全性。另一种方法是，对于Referer为空的请求，显示一个默认图片或者直接拒绝访问。
if (empty($referer)) {
// 可以选择显示默认图片或者拒绝访问
// 示例：显示默认图片
header('Content-Type: image/png');
readfile('images/default.png');
exit;
// 或者拒绝访问
// header('HTTP/1.1 403 Forbidden');
// echo 'Access denied.';
// exit;
}具体采用哪种策略，取决于你的安全需求和用户体验之间的权衡。
Nginx配置防盗链与PHP脚本防盗链的优劣？
Nginx配置防盗链通常是通过valid_referers指令来实现的。它的优点是性能高，因为Nginx直接在服务器层面拦截了非法请求，不需要PHP脚本的参与。缺点是灵活性相对较差，配置相对复杂，而且对于一些特殊的Referer情况（例如Referer为空）处理起来可能不够灵活。
PHP脚本防盗链的优点是灵活性高，可以根据具体的业务逻辑进行定制化的处理。例如，可以根据不同的用户或不同的请求来源，采取不同的防盗链策略。缺点是性能相对较低，因为每个图片请求都需要经过PHP脚本的处理。
一般来说，如果对性能要求较高，且防盗链规则比较简单，可以优先考虑使用Nginx配置防盗链。如果需要更灵活的防盗链策略，或者需要处理一些特殊的Referer情况，可以考虑使用PHP脚本防盗链。也可以将两者结合起来使用，例如，先使用Nginx配置防盗链进行初步的过滤，然后再使用PHP脚本进行更细粒度的控制。
除了Referer，还有其他防止盗链的方法吗？
除了Referer，还可以考虑以下几种方法：
- Token验证： 生成一个临时的、唯一的Token，附加到图片URL中。服务器端验证Token的有效性，只有持有有效Token的请求才能访问图片。这种方法安全性较高，但实现起来相对复杂。
- IP限制： 限制只有特定的IP地址或IP地址段才能访问图片。这种方法适用于内部系统或特定的合作伙伴。
- 时间戳验证： 在图片URL中包含一个时间戳，服务器端验证时间戳的有效性。如果时间戳过期，则拒绝访问。这种方法可以防止图片URL被长期盗用。
- 水印： 在图片上添加水印，即使图片被盗用，也能起到一定的宣传作用。
- 隐藏真实图片路径： 不要直接暴露图片的真实路径，而是使用一个虚拟路径，并通过服务器端脚本将虚拟路径映射到真实路径。
这些方法可以单独使用，也可以结合使用，以提高防盗链的安全性。选择哪种方法，取决于你的具体需求和安全要求。
如何应对CDN加速下的防盗链问题？
在使用CDN加速的情况下，由于CDN节点会缓存你的图片资源，并且用户的请求会先到达CDN节点，而不是直接到达你的服务器，因此传统的Referer防盗链可能会失效。
要解决这个问题，可以采取以下几种方法：
- CDN Referer防盗链： 大多数CDN服务商都提供了Referer防盗链功能。你可以在CDN控制台上配置允许访问的域名，CDN节点会自动验证请求的Referer，并拒绝非法请求。
- CDN Token验证： 一些CDN服务商也提供了Token验证功能。你可以在CDN控制台上配置Token密钥，然后在图片URL中添加Token参数。CDN节点会验证Token的有效性，并拒绝非法请求。
- 回源鉴权： 配置CDN回源鉴权，让CDN节点在回源请求图片时，携带特定的身份验证信息（例如，Token或签名）。你的服务器端验证这些身份验证信息，只有验证通过的请求才允许访问图片。
- 自定义HTTP Header： 配置CDN节点在回源请求时，添加自定义的HTTP Header。你的服务器端验证这些Header，只有包含正确Header的请求才允许访问图片。
一般来说，推荐使用CDN提供的Referer防盗链或Token验证功能，因为这些功能都是针对CDN环境优化的，性能较高，配置也相对简单。如果需要更高级的防盗链策略，可以考虑使用回源鉴权或自定义HTTP Header。
