Apache防盗版配置实用方案

一 核心思路与适用场景

• 目标是减少资源被未授权外链、抓取与盗用的风险，常用手段包括：Referer 防盗链、身份认证、WAF 规则、DRM 加密、水印与日志监控。这些手段各有侧重，通常需要组合使用以形成多层防护。
• 下表给出常见方案与要点：

二 快速上手 配置 Referer 防盗链

• 适用：阻止外站直接引用你的图片、视频、压缩包等静态资源。
• 步骤（Ubuntu/Debian 示例）：
  1. 启用模块
     sudo a2enmod rewrite
  2. 在站点配置或虚拟主机中添加规则（示例为仅允许本站与空 Referer）
     RewriteEngine On

     允许本站与空 Referer（空 Referer 常见于直接访问/新标签打开）

     RewriteCond %{HTTP_REFERER} !^$ RewriteCond %{HTTP_REFERER} !^https?://(www.)?yourdomain.com [NC]

     也可添加多个可信域名

     RewriteCond %{HTTP_REFERER} !^https?://(www.)?another.com [NC]

     阻止常见媒体与归档格式

     RewriteRule .(jpg|jpeg|png|gif|mp4|avi|mov|zip|rar)$ - [F,L]
  3. 生效配置
     sudo systemctl restart apache2
  4. 可选：将盗链请求重定向到提示页
     RewriteRule .(jpg|jpeg|png|gif)$ /anti-hotlinking.html [R301,L]
• 说明：Referer 可被客户端省略或伪造，建议仅作为“减速带”，与身份认证或签名 URL 组合使用。

三 进阶防护组合

• 身份认证与访问控制
  • 使用 HTTP Basic 保护敏感目录或下载：
    <Directory “/var/www/protected”> AuthType Basic AuthName “Restricted” AuthUserFile /etc/apache2/.htpasswd Require valid-user 生成用户：sudo htpasswd -c /etc/apache2/.htpasswd username
  • 按 IP 白名单限制：
    Require ip 203.0.113.10 198.51.100.0/24
• WAF 规则拦截可疑盗链/抓取
  • 安装并启用 mod_security，添加规则示例（拦截对图片的异常访问）：
    SecRule REQUEST_FILENAME “.(jpg|jpeg|png|gif)$”
    “id:123456,phase:2,deny,status:403,log,msg:‘Access to images is restricted’”
• 媒体内容加密与 DRM
  • 对音视频采用 Widevine/PlayReady/FairPlay 等 DRM 方案，服务端签发许可证、客户端按策略解密播放，适合高价值内容。
• 水印与唯一标识
  • 为图片/视频添加可见或不可见水印、唯一 ID，便于取证与追责。
• 日志监控与自动处置
  • 实时查看与告警：tail -f /var/log/apache2/access.log /var/log/apache2/error.log
  • 结合 fail2ban 对高频 403/404 或异常 UA 的 IP 进行封禁。

四 部署与运维要点

• 放置位置：规则可写在 内，也可放入 /etc/apache2/conf-available/anti-hotlinking.conf 后用 a2enconf 启用；目录级策略可用 .htaccess。
• 测试验证：
  • 使用 curl 模拟外链访问：curl -H “Referer: https://evil.com” https://yourdomain.com/file.jpg 应返回 403。
  • 直接浏览器访问与站内引用应正常。
• 性能与安全：启用 mod_deflate（压缩）与 mod_expires（缓存）提升体验并降低带宽压力；同时隐藏 Server 版本信息以减少攻击面。
• 合规与体验：对搜索引擎与自家 CDN/合作方设置 Referer 白名单；必要时采用“登录 + 签名 URL/临时令牌”替代单纯 Referer。

五 风险提示

• 没有任何前端或网络层方案能“完全阻止”盗版；Referer 防盗链可被绕过，请务必与身份认证、签名 URL、DRM、水印和日志审计组合使用，形成多层防护体系。