SpringBoot實現(xiàn)圖片防盜鏈的五種方式詳解
更新時間：2025年08月19日 08:45:04 作者：墨瑾軒
出于安全考慮,我們需要后端返回的圖片只允許在某個網(wǎng)站內(nèi)展示,不想被爬蟲拿到圖片地址后被下載,或者,不想瀏覽器直接訪問圖片鏈接,出于性能考慮,不想要別人的網(wǎng)站,拿著我們的圖片鏈接去展示,所以本文給大家介紹了SpringBoot實現(xiàn)圖片防盜鏈的五種方式
什么是圖片防盜鏈？
想象一下，你的網(wǎng)站有一張超可愛的貓咪圖片（/images/cute_cat.jpg），但某天發(fā)現(xiàn)別的網(wǎng)站直接用 <img src="http://yourdomain.com/images/cute_cat.jpg"> 把你的圖偷走了！這就是盜鏈——別人不勞而獲，占用你服務(wù)器的流量和資源。
防盜鏈的核心思想：
- 檢查請求來源（Referer）：只允許指定域名的請求訪問資源。
- 白名單機制：某些資源可以完全開放訪問。
- 默認(rèn)圖片兜底：拒絕請求時返回一張“禁止盜鏈”的提示圖。
場景重現(xiàn)
你運行的Spring Boot服務(wù)突然流量暴增，但發(fā)現(xiàn)90%請求來自第三方網(wǎng)站。這時候你會不會想：“難道我的貓咪圖成了別人的廣告位？”
實現(xiàn)方式對比：5種方法深度解析
| 方法 | 優(yōu)點 | 缺點 |
|---|---|---|
| 過濾器（Filter） | 全局?jǐn)r截，適合靜態(tài)資源 | 無法處理復(fù)雜邏輯 |
| 攔截器（Interceptor） | 可訪問Spring上下文 | 僅限MVC請求 |
| Nginx配置 | 性能高，無需代碼 | 不靈活 |
| 簽名URL | 安全性強 | 增加復(fù)雜度 |
| 混合策略 | 多層防護(hù) | 配置復(fù)雜 |
方法1：過濾器（Filter）實現(xiàn)防盜鏈
1. 創(chuàng)建Spring Boot項目
添加必要依賴（pom.xml）：
<dependencies>
<!-- Web支持 -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-web</artifactId>
</dependency>
<!-- 緩存支持（可選） -->
<dependency>
<groupId>org.springframework.boot</groupId>
<artifactId>spring-boot-starter-cache</artifactId>
</dependency>
<!-- Lombok（簡化代碼） -->
<dependency>
<groupId>org.projectlombok</groupId>
<artifactId>lombok</artifactId>
<optional>true</optional>
</dependency>
</dependencies>
2. 配置防盜鏈參數(shù)（application.yml）
# 防盜鏈配置
anti-hotlink:
# 是否啟用防盜鏈
enabled: true
# 允許的域名列表（支持子域名和正則）
allowed-domains:
- localhost
- 127.0.0.1
- "*.example.com"
- "^test\\d+\\.domain\\.com$" # 匹配test1.domain.com等
# 需要保護(hù)的資源格式（結(jié)尾匹配）
protected-formats:
- .jpg
- .jpeg
- .png
- .gif
# 是否允許直接訪問（無Referer）
allow-direct-access: true
# 拒絕訪問時的動作（REDIRECT/FORBIDDEN/DEFAULT_IMAGE）
deny-action: DEFAULT_IMAGE
# 默認(rèn)圖片路徑
default-image: /images/no-hotlinking.png
# 白名單路徑（無需檢查）
whitelist-paths:
- /api/public/**
- /images/public/**
3. 編寫過濾器
import lombok.extern.slf4j.Slf4j;
import org.springframework.beans.factory.annotation.Value;
import org.springframework.core.env.Environment;
import org.springframework.stereotype.Component;
import javax.servlet.*;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
import java.io.IOException;
import java.util.*;
import java.util.regex.Pattern;
/**
* 圖片防盜鏈過濾器
*/
@Component
@Slf4j
public class AntiHotlinkFilter implements Filter {
// 從配置中讀取參數(shù)
@Value("${anti-hotlink.enabled}")
private boolean enabled;
@Value("${anti-hotlink.allowed-domains}")
private List<String> allowedDomains;
@Value("${anti-hotlink.protected-formats}")
private List<String> protectedFormats;
@Value("${anti-hotlink.allow-direct-access}")
private boolean allowDirectAccess;
@Value("${anti-hotlink.deny-action}")
private String denyAction;
@Value("${anti-hotlink.default-image}")
private String defaultImage;
@Value("${anti-hotlink.whitelist-paths}")
private List<String> whitelistPaths;
// 路徑匹配工具
private final AntPathMatcher pathMatcher = new AntPathMatcher();
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
if (!enabled) {
chain.doFilter(request, response);
return;
}
HttpServletRequest httpRequest = (HttpServletRequest) request;
HttpServletResponse httpResponse = (HttpServletResponse) response;
String requestURI = httpRequest.getRequestURI();
String referer = httpRequest.getHeader("Referer");
// 檢查是否在白名單中
if (isWhitelisted(requestURI)) {
chain.doFilter(request, response);
return;
}
// 檢查是否是受保護(hù)的資源格式
if (!isProtectedResource(requestURI)) {
chain.doFilter(request, response);
return;
}
// 直接訪問（無Referer）且允許
if (allowDirectAccess && referer == null) {
chain.doFilter(request, response);
return;
}
// 檢查Referer是否合法
if (isValidReferer(referer)) {
chain.doFilter(request, response);
} else {
handleInvalidRequest(httpResponse);
}
}
/**
* 檢查路徑是否在白名單中
*/
private boolean isWhitelisted(String requestURI) {
for (String path : whitelistPaths) {
if (pathMatcher.match(path, requestURI)) {
return true;
}
}
return false;
}
/**
* 檢查是否是受保護(hù)的資源格式
*/
private boolean isProtectedResource(String requestURI) {
for (String format : protectedFormats) {
if (requestURI.endsWith(format)) {
return true;
}
}
return false;
}
/**
* 檢查Referer是否合法
*/
private boolean isValidReferer(String referer) {
if (referer == null) {
return false;
}
for (String domain : allowedDomains) {
if (domain.startsWith("^")) {
// 正則匹配
Pattern pattern = Pattern.compile(domain.substring(1));
if (pattern.matcher(referer).matches()) {
return true;
}
} else if (domain.equals("*")) {
// 通配符匹配
return true;
} else if (referer.contains(domain)) {
// 精確匹配
return true;
}
}
return false;
}
/**
* 處理非法請求
*/
private void handleInvalidRequest(HttpServletResponse response) throws IOException {
switch (denyAction) {
case "REDIRECT":
response.sendRedirect("https://example.com/forbidden");
break;
case "FORBIDDEN":
response.sendError(HttpServletResponse.SC_FORBIDDEN, "Forbidden");
break;
case "DEFAULT_IMAGE":
response.sendRedirect(defaultImage);
break;
default:
response.sendError(HttpServletResponse.SC_FORBIDDEN, "Forbidden");
}
}
}
代碼解析：
doFilter：核心邏輯入口，檢查請求是否合法。isWhitelisted：判斷路徑是否在白名單中。isValidReferer：支持正則、通配符和精確匹配。handleInvalidRequest：根據(jù)配置返回不同響應(yīng)。
方法2：攔截器（Interceptor）實現(xiàn)
1. 創(chuàng)建攔截器類
import org.springframework.stereotype.Component;
import org.springframework.web.servlet.HandlerInterceptor;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;
/**
* 圖片防盜鏈攔截器
*/
@Component
public class AntiHotlinkInterceptor implements HandlerInterceptor {
// 配置參數(shù)（需從配置文件注入）
private final List<String> allowedDomains;
private final List<String> protectedFormats;
private final boolean allowDirectAccess;
private final String denyAction;
private final String defaultImage;
public AntiHotlinkInterceptor(
List<String> allowedDomains,
List<String> protectedFormats,
boolean allowDirectAccess,
String denyAction,
String defaultImage) {
this.allowedDomains = allowedDomains;
this.protectedFormats = protectedFormats;
this.allowDirectAccess = allowDirectAccess;
this.denyAction = denyAction;
this.defaultImage = defaultImage;
}
@Override
public boolean preHandle(HttpServletRequest request, HttpServletResponse response, Object handler) throws Exception {
String requestURI = request.getRequestURI();
String referer = request.getHeader("Referer");
// 檢查是否是受保護(hù)的資源格式
if (!isProtectedResource(requestURI)) {
return true;
}
// 直接訪問（無Referer）且允許
if (allowDirectAccess && referer == null) {
return true;
}
// 檢查Referer是否合法
if (isValidReferer(referer)) {
return true;
} else {
handleInvalidRequest(response);
return false;
}
}
private boolean isProtectedResource(String requestURI) {
for (String format : protectedFormats) {
if (requestURI.endsWith(format)) {
return true;
}
}
return false;
}
private boolean isValidReferer(String referer) {
if (referer == null) {
return false;
}
for (String domain : allowedDomains) {
if (domain.startsWith("^")) {
// 正則匹配
Pattern pattern = Pattern.compile(domain.substring(1));
if (pattern.matcher(referer).matches()) {
return true;
}
} else if (domain.equals("*")) {
// 通配符匹配
return true;
} else if (referer.contains(domain)) {
// 精確匹配
return true;
}
}
return false;
}
private void handleInvalidRequest(HttpServletResponse response) throws IOException {
switch (denyAction) {
case "REDIRECT":
response.sendRedirect("https://example.com/forbidden");
break;
case "FORBIDDEN":
response.sendError(HttpServletResponse.SC_FORBIDDEN, "Forbidden");
break;
case "DEFAULT_IMAGE":
response.sendRedirect(defaultImage);
break;
default:
response.sendError(HttpServletResponse.SC_FORBIDDEN, "Forbidden");
}
}
}
方法3：Nginx配置防盜鏈
如果你使用Nginx作為反向代理，可以更高效地實現(xiàn)防盜鏈：
location ~* \.(jpg|jpeg|png|gif)$ {
# 限制Referer
valid_referers none blocked example.com *.example.com ~\.example\.com$;
if ($invalid_referer) {
rewrite ^/images/(.*)$ /images/no-hotlinking.png last;
}
}
性能對比：
- Nginx：毫秒級響應(yīng)，無需Java處理
- Java過濾器：延遲約10ms
方法4：簽名URL（Token驗證）
1. 生成帶Token的URL
import java.security.MessageDigest;
import java.time.Instant;
import java.util.Base64;
public class TokenGenerator {
private static final String SECRET_KEY = "your-secret-key";
private static final int TTL_SECONDS = 300; // 5分鐘過期
public static String generateSignedUrl(String filePath) {
long timestamp = Instant.now().getEpochSecond();
String token = generateToken(filePath, timestamp);
return "https://yourdomain.com" + filePath + "?token=" + token + "&ts=" + timestamp;
}
private static String generateToken(String filePath, long timestamp) {
try {
String input = filePath + SECRET_KEY + timestamp;
MessageDigest md = MessageDigest.getInstance("MD5");
byte[] digest = md.digest(input.getBytes());
return Base64.getEncoder().encodeToString(digest);
} catch (Exception e) {
throw new RuntimeException("Token generation failed", e);
}
}
public static boolean validateToken(String filePath, String token, long timestamp) {
return generateToken(filePath, timestamp).equals(token);
}
}
方法5：混合策略（Filter + Token）
1. 修改過濾器邏輯
@Override
public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain)
throws IOException, ServletException {
HttpServletRequest httpRequest = (HttpServletRequest) request;
HttpServletResponse httpResponse = (HttpServletResponse) response;
String requestURI = httpRequest.getRequestURI();
String referer = httpRequest.getHeader("Referer");
// 檢查是否是簽名請求
if (isSignedRequest(httpRequest)) {
chain.doFilter(request, response);
return;
}
// 其余邏輯同方法1
}
注意事項與優(yōu)化建議
1. Referer不可靠
- 偽造問題：惡意客戶端可偽造Referer頭。
- 解決方案：結(jié)合Token驗證或Nginx配置。
2. 緩存優(yōu)化
@Cacheable("hotlink_domains")
private boolean isAllowedDomain(String domain) {
// 緩存域名檢查結(jié)果
return allowedDomains.contains(domain);
}
3. 白名單陷阱
- 路徑匹配漏洞：
/api/public/**可能被繞過。 - 解決方案：使用嚴(yán)格路徑匹配規(guī)則。
以上就是SpringBoot實現(xiàn)圖片防盜鏈的五種方式詳解的詳細(xì)內(nèi)容，更多關(guān)于SpringBoot圖片防盜鏈的資料請關(guān)注腳本之家其它相關(guān)文章！
相關(guān)文章
這篇文章主要介紹了java中正則表達(dá)式實例詳解的相關(guān)資料,需要的朋友可以參考下2017-04-04
在本文中,我們深入探討了動態(tài)SQL的各種標(biāo)簽,包括<if>、<choose>、<trim>、<foreach>等,通過實際的例子演示了它們的用法,感興趣的朋友一起揭開動態(tài)SQL的神秘面紗,帶你領(lǐng)略它的魅力2024-01-01
在SpringBoot中,如何使用Netty實現(xiàn)遠(yuǎn)程調(diào)用方法總結(jié)
我們在進(jìn)行網(wǎng)絡(luò)連接的時候,建立套接字連接是一個非常消耗性能的事情,特別是在分布式的情況下,用線程池去保持多個客戶端連接,是一種非常消耗線程的行為.那么我們該通過什么技術(shù)去解決上述的問題呢,那么就不得不提一個網(wǎng)絡(luò)連接的利器——Netty,需要的朋友可以參考下2021-06-06
Springboot整合企業(yè)微信機器人助手推送消息的實現(xiàn)
本文主要介紹了Springboot整合企業(yè)微信機器人助手推送消息的實現(xiàn)，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2022-05-05
這篇文章主要介紹了對HashMap原理的理解，文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值，需要的朋友們下面隨著小編來一起學(xué)習(xí)學(xué)習(xí)吧2019-04-04
這篇文章主要介紹了Java設(shè)計模式中的組合模式，組合模式依據(jù)樹形結(jié)構(gòu)來組合對象，用來表示部分以及整體層次，種類型的設(shè)計模式屬于結(jié)構(gòu)型模式2022-07-07
這篇文章主要介紹了基于spring三方包類注入容器的四種方式小結(jié)，具有很好的參考價值，希望對大家有所幫助。一起跟隨小編過來看看吧2020-09-09
這篇文章主要介紹了Spring Boot使用過濾器Filter過程解析,文中通過示例代碼介紹的非常詳細(xì)，對大家的學(xué)習(xí)或者工作具有一定的參考學(xué)習(xí)價值,需要的朋友可以參考下2020-01-01
運算符在Java編程中至關(guān)重要的作用不容忽視,它們廣泛應(yīng)用于數(shù)學(xué)函數(shù)、賦值語句以及邏輯比較等多個方面,這篇文章主要介紹了JAVA面試篇之邏輯運算符與按位運算符區(qū)別的相關(guān)資料,需要的朋友可以參考下2025-08-08
這篇文章主要介紹了IDEA Debug模式下改變各類型變量值的方法，小編覺得挺不錯的，現(xiàn)在分享給大家，也給大家做個參考。一起跟隨小編過來看看吧2018-04-04