如何通过使用AWS WAF防止热链接

Question

有一个AWS文档说明了如何自己完成操作，即如何仅允许一个页面进行热链接并拒绝所有其他页面：https://aws.amazon.com/blogs/security/how-to-prevent-hotlinking-by-using-aws-waf-amazon-cloudfront-and-referer-checking/

我想知道WAF是否适合我的用例，这与上面的用例有些不同。

• 在我所在的公司，我们打算通过JS小部件出售数据。
• 我们希望限制对这些数据的访问，以便只有授权的REFERER才能向其用户显示我们的数据，同时拒绝所有其他REFERER。
• 欺骗参考者的可能性对我们来说不是重要威胁。
• 我们希望将我们的客户群扩大到数百名。

之所以问这个问题，是因为注意到WAF有一些严格的限制：https://docs.aws.amazon.com/waf/latest/developerguide/limits.html，据我了解，对于我们的用例，WAF扩展性不好。 >

Answer 1

WAF不是适合该工作的工具。

首先，即使存在最多10条规则，每条规则最多具有10个条件，每个规则最多具有10个过滤器，每个AWS账户也存在100个字符串条件的强项。

第二，条件和过滤器在我们的用例中组合不佳。规则的条件由AND组成，条件的过滤器由OR组成。例如，像r(x) := (x=a + x=b + x=c) * (x=d + x=e)这样的规则将给r(d) = false，而无需测试x=d。