问题

当我们访问一个图片不是来源与我们的服务器时，并且对方图片服务器做了防盗链机制。
我们防卫图片就可能会变成403,不能正常访问。

防盗链原理

http协议中，从一个网页跳到另一个网页中，http头字段会带有Referer，图片服务器通过检测Referer是否来自规定域名，来进行防盗链。

破解防盗链

1.referer为空
若不发送Referer,也就没有来源，图片服务器就会认为是浏览器直接访问的，可以正常加载图片。

a:https访问http，如果盗用图片的网站是https，而图片链接是http的话，从https向http发送请求因为  

安全规定，而不带referer,实现绕过防盗链。

b:若开启隐私模式的浏览器，在https页面的引用下，referer是空的

c:设置请求头

    Nodejs:
res.writeHead(200, {
    'Content-Type': 'image/*'
});
let url = req.query.url;
if (!url) {
    res.send("");
    return false;
}
superagent.get(req.query.url)
    .set('Referer', '')
    .set("User-Agent",
        'User-Agent:Mozilla/5.0 (Windows NT 10.0; WOW64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/47.0.2526.80 Safari/537.36 Core/1.47.933.400 QQBrowser/9.4.8699.400'
    )
    .end(function(err, result) {
        if (err) {
            //res.send(err);
            return false;
        }
        res.end(result.body);
        return;
    });

2.用iFrame伪造请求referer

function showImg( url ) {
        var frameid = 'frameimg' + Math.random();
        window.img = '<img id="img" src=\''+url+'?'+Math.random()+'\' /><script>window.onload = function() { parent.document.getElementById(\''+frameid+'\').height = document.getElementById(\'img\').height+\'px\'; }<'+'/script>';
        document.write('<iframe id="'+frameid+'" src="javascript:parent.img;" frameBorder="0" scrolling="no" width="100%"></iframe>');
}

3.meta标签控制referer

设置：<meta name="referrer" content="never"> 页面请求不会带上referer

防御防盗链

1.不允许referer为空（不建议，因在某些开启隐私模式的浏览器中，或https页面引用下，referer是空的）
2、地址变更（lighttpd的是根据有效时间，nginx的根据是md5，IP地址变化）
　 3、登录校验（如必须登录网站帐号后才能访问）

防置网站被iframe

<script type=”text/javascript> 
if(window!=parent) 
window.top.location.href = window.location.href; 
< /script>

Demo

var express = require('express'),
  path = require('path'),
  app = express();
  
var AntiLeech = require('express-anti-leech');

// 允许引用的域名白名单
var hosts = ['localhost', 'localhost:8004'];

// 反盗链类型
var exts = ['.png', '.jpg', '.jpeg', '.gif', '.swf', '.flv'];

// 盗链默认指向图片
var pictrue = "/images/default.png";

app.use(AntiLeech({
  allow: hosts,
  exts: exts,
  log: console.log, // 你也可以使用自己的方法来记录
  default: pictrue
}));

// 请在调用静态资源之前先使用反盗链模块
app.use(express.static(path.join(__dirname, 'public')));
app.set('port', process.env.PORT || 8004);

app.get('/', function(req, res) {
  res.redirect("/index.html");
});

app.listen(app.get('port'), function() {
  console.log("Express test server listening on http://localhost:" + app.get('port'));
});

nginx防盗链

location ~* \.(gif|jpg|png|bmp)$ {
  valid_referers none blocked *.xxx.com server_names ~\.google\. ~\.baidu\.;
  if ($invalid_referer) {
      return 403;
      #rewrite ^/ http://www.xxx.com/403.jpg;
  }
}