可通过Referer验证、Token机制、IP限流、加密签名和隐藏路径等方式保护PHP资源链接。一、检查$_SERVER['HTTP_REFERER']是否在白名单内，防止外链盗用；二、生成一次性token并存储于SESSION或Redis，URL携带token且验证后立即失效；三、记录IP请求频率，超出阈值返回429状态码，异常IP拉黑；四、使用HMAC对URL参数（如路径、过期时间）签名，服务端校验签名一致性与时效性；五、将文件存于Web目录外，通过PHP脚本代理输出，设置响应头禁止缓存并控制下载行为。
如果您希望保护PHP生成的资源链接不被未授权使用，防止其他网站直接引用您的文件或接口，可以采取多种技术手段来限制非法访问。以下是几种有效的防护方法：
一、基于HTTP Referer的验证
通过检查请求头中的Referer字段，可以判断请求是否来自允许的域名。这种方法适用于防止静态资源被外站盗用。
1、在PHP脚本中获取$_SERVER['HTTP_REFERER']变量，提取来源域名信息。
2、定义一个合法来源域名的白名单数组，例如：$allowed_domains = ['example.com', 'trusted-site.com'];。
立即学习“PHP免费学习笔记（深入）”；
3、使用parse_url()函数解析Referer中的主机名，并判断是否存在于白名单中。
4、如果来源不在白名单内，则返回403禁止访问状态码：header('HTTP/1.1 403 Forbidden'); 并终止脚本执行。
二、使用一次性令牌（Token）机制
为每个资源请求生成唯一的临时访问令牌，确保URL只能在限定时间内使用一次，过期后失效。
1、当用户需要访问受保护资源时，服务器生成一个随机字符串作为token，如md5(uniqid(rand(), true))。
2、将该token与有效期（如5分钟）存入SESSION或缓存系统（如Redis）中。
3、构造带token参数的临时URL，例如：download.php?file=doc.pdf&token=abc123xyz。
4、在资源处理脚本中验证token是否存在且未过期，验证通过后立即删除该token以防止重复使用。
5、若token无效或缺失，拒绝响应并输出错误信息：exit('无效或已过期的访问令牌');。
三、IP地址限制与频率控制
通过识别客户端IP地址并监控其请求行为，可有效阻止批量抓取和恶意下载。
1、使用$_SERVER['REMOTE_ADDR']获取访问者的公网IP地址。
2、结合Redis或数据库记录每个IP在指定时间窗口内的请求次数。
3、设定阈值，例如每分钟最多允许10次资源请求，超出则触发限流。
4、对超过频率限制的IP返回429状态码：header('HTTP/1.1 429 Too Many Requests');。
5、可选择性地将长期异常IP加入黑名单，后续直接拦截其所有请求。
四、加密签名URL
通过对URL参数进行加密签名，确保只有掌握密钥的服务端才能生成有效链接。
1、定义一个私有密钥（secret key），用于生成哈希签名。
2、构造包含路径、时间戳和过期时间的原始数据串，例如：/files/data.zip|1720000000。
3、使用HMAC算法（如hash_hmac('sha256', $data, $secret)）生成签名值。
4、将签名附加到URL中，如：secure.php?path=data.zip&expires=1720000000&sign=abc123。
5、在接收端重新计算签名并与传入值比对，不一致或已过期则拒绝访问：if ($computed !== $provided || time() > $expires) die();。
五、隐藏真实文件路径并通过PHP读取输出
避免直接暴露文件服务器上的物理路径，所有资源访问均经由PHP脚本代理输出。
1、将敏感文件存放在Web根目录之外的受保护目录中，如../storage/files/。
2、创建统一入口脚本（如serve.php）负责验证权限并读取文件内容。
3、使用readfile()配合fopen()等函数，在完成权限检查后逐块输出文件数据。
4、设置适当的响应头以防止浏览器缓存：header('Cache-Control: no-store, no-cache, must-revalidate');。
5、发送Content-Type和Content-Disposition头以正确渲染或提示下载，例如：header('Content-Disposition: attachment; filename="' . basename($file) . '"');。
