图片防盗链的原理是什么？

图片防盗链的核心原理是基于浏览器请求的图像资源 URL 的访问控制。其主要依赖 HTTP 请求中的 Referer 头字段进行限制，如果请求来源域被标记为未授权网站，服务器会拒绝访问该图像资源。具体实现通常包含以下两个核心机制：

1. Referer 头部验证：
   • 当浏览器加载一个图像资源时，会在 HTTP 请求中包含 Referer 头部信息，该信息表示当前访问该图像的来源页面域名。
   • 服务器端通过检查 Referer 的值是否在预定义的白名单内（如自家网站或信任域名列表），来决定是否允许图像显示。
   • 如果请求的 Referer 不存在或不符合白名单要求，服务器可能返回一个错误状态（如 403 Forbidden），或展示替代图像（如一个含有版权警告的图片）。
   • 通过服务器配置可直接实现这种方法。例如，在 Apache中使用.htaccess 文件:

     RewriteEngine On
     RewriteCond %{HTTP_REFERER} !^$
     RewriteCond %{HTTP_REFERER} !^http(s)?://(www\.)?yourdomain.com [NC]
     RewriteRule .* - [R=403,L]
     

     此配置仅允许来源于yourdomain.com的请求；如有HTTP_REFERER为null或其他未授权域，即无法加载图像资源。

2. 签名/Token验证机制：
   • 为应对Referer方法可伪造性弱的不足，高级方案中会引入时间戳和加密签名 Token 方法。
   • 在前端访问图像资源时动态生成URL，并在URL附加签名和数据参数， 如使用 JavaScript的API 动态构造带签名参数的图片地址：

     // 示例签名 URL 构造方式
     <img src="example.com/image.jpg?ts=1715249200&token=ab1c34d" alt="Example">
     

   • 后端在收到请求后计算URL参数的Token是否匹配有效期验证，如果无效或超期将返回拒绝响应。此方式通过后端的加密校验模块来实现较强的防恶意引用功能。

两种方法的结合可以实现高效图像防盗体系，减少带宽使用和保护资源安全。在部署防盗链服务时，管理员需充分考虑跨协议操作（例如 http(s)不同源交互等可能导致拦截边界漏洞的行为），并以定期黑白名单管理来动态维护可靠配置策略架构。