.htaccess - 检查Referer匹配主机没有硬编码？

Question

我想做一个典型的事情，你确保一个引用者标题与你的主机匹配，使用htaccess。但是我想在不对域名进行硬编码的情况下这样做，因此htaccess代码可以很容易地在许多站点中重用。

我知道这是典型的做法。想象一下，我在WWW.example.com上有一个主服务器，在IMG.example.com上有一个图像服务器：

RewriteCond %{HTTP_HOST} !^(www\.)
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !https?://(([^\.]+)\.)?example\.com/    [NC]
RewriteRule DO SOMETHING HERE [L]

但是如果不将'example.com'硬编码到Rewrite条件下，我怎么能以某种方式做到这一点？我想在某种程度上尝试在引用者重写条件中使用％{HTTP_HOST}，但我不确定如何匹配最后一个/域部分并将其置于其中。也许有一些方法我可以匹配主机，将结果放入变量，然后能够在下一个RewriteCond线上使用该变量？

我有点失落。谢谢你的帮助！

Answer 1

使用.htaccess

检查引荐来源

引荐来源检查是一种限制网络资源使用方式的机制。具体来说，您可以使用此技术坚持只从特定页面或网站查看文件（或者，只有在浏览器说它正在您的网站上查看文件时才会查看，如实或其他）。

通常你会在htaccess文件中设置一个引用来检查，如下所示：

RewriteEngine On
RewriteCond %{HTTP_REFERER} !^http://www.example.com/.*
RewriteRule .*\.pdf - [NC,F]

第一行打开重写，第二行检查“REFERER”标题（是的，拼写那样）是否以“http://www.example.com/”开头，第三行标记所有以“http://tltech.com/info/referrer-htaccess/”结尾的文件.pdf“为禁止。

这很有趣，而且很有用，但它是特定于网站的。您必须更改代码以匹配您的域，有时需要在多个域中应用完全相同的代码。最好检查REFERER标头是否包含与HOST标头相同的域名。

理想情况下，您可以执行以下操作：

这不起作用

RewriteCond %{HTTP_REFERER} !^http://%{HTTP_HOST}/.*

可悲的是，您不允许在RewriteCond中将一个服务器变量与另一个服务器变量进行比较。我们可以通过将两个变量放在条件的同一侧，然后将结果与自身进行比较来解决这个限制。像这样：

这个有效 - 可随意将其复制到您自己的网站上。

RewriteEngine On
RewriteCond %{HTTP_HOST}@@%{HTTP_REFERER} !^([^@]*)@@https?://\1/.*
RewriteRule .*\.pdf [NC,F]

起初这可能有点令人困惑，所以让我们通过它来理解。在比较的左侧，我们有%{HTTP_HOST}@@%{HTTP_REFERER}。例如，这会产生如下字符串：tltech.com@@http://tltech.com/info。在验证规则的右侧，“^([^@]*)”表示“记住第一个@符号前的所有内容。然后我们跳过@@http://（或可选地@@https://）。然后确保下一位与我们在开始时记住的主机名匹配。然后我们确保后跟一个/符号。就是这样。

实际上，此规则会检查HTTP_REFERER字段中的主机名是否与HTTP_HOST中的主机名完全相同。如果情况并非如此，则最后一行告诉apache阻止指定的文件类型。

很酷，嗯？最好的部分是您可以将代码剪切并粘贴到任何主机中，而无需对其进行任何更改。只需确保最后一行与您要限制的文件类型或名称相匹配，您就是黄金。

---

来源：{{3}}