Nginx跨域訪問和防盜鏈如何配置

Nginx跨域訪問和防盜鏈如何配置

在現代Web開發中，跨域訪問和防盜鏈是兩個常見的安全和功能需求。Nginx作為一款高性能的Web服務器和反向代理服務器，提供了靈活的配置選項來滿足這些需求。本文將詳細介紹如何在Nginx中配置跨域訪問和防盜鏈。

1. 跨域訪問配置

跨域訪問（Cross-Origin Resource Sharing, CORS）是指瀏覽器允許一個域下的網頁向另一個域下的服務器發起請求。由于瀏覽器的同源策略（Same-Origin Policy），默認情況下，跨域請求是被禁止的。為了允許跨域請求，服務器需要在響應頭中添加特定的CORS頭。

1.1 基本配置

在Nginx中，可以通過在server塊或location塊中添加add_header指令來配置CORS頭。以下是一個基本的配置示例：

server {
    listen 80;
    server_name example.com;

    location /api/ {
        add_header 'Access-Control-Allow-Origin' '*';
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
        add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';

        if ($request_method = 'OPTIONS') {
            add_header 'Access-Control-Max-Age' 1728000;
            add_header 'Content-Type' 'text/plain; charset=utf-8';
            add_header 'Content-Length' 0;
            return 204;
        }

        proxy_pass http://backend_server;
    }
}

1.2 配置說明

• Access-Control-Allow-Origin: 指定允許跨域訪問的源。*表示允許所有源，也可以指定具體的域名。
• Access-Control-Allow-Methods: 指定允許的HTTP方法，如GET、POST、OPTIONS等。
• Access-Control-Allow-Headers: 指定允許的請求頭。
• Access-Control-Expose-Headers: 指定允許暴露給客戶端的響應頭。
• Access-Control-Max-Age: 指定預檢請求（OPTIONS）的緩存時間，單位為秒。

1.3 處理OPTIONS請求

在跨域請求中，瀏覽器會先發送一個OPTIONS請求（預檢請求）來確認服務器是否允許跨域請求。Nginx可以通過檢查$request_method變量來處理OPTIONS請求，并返回204狀態碼。

2. 防盜鏈配置

防盜鏈（Hotlink Protection）是指防止其他網站直接鏈接到你的資源（如圖片、視頻等），從而消耗你的帶寬和資源。Nginx可以通過檢查請求的Referer頭來實現防盜鏈。

2.1 基本配置

以下是一個基本的防盜鏈配置示例：

server {
    listen 80;
    server_name example.com;

    location ~* \.(jpg|jpeg|png|gif|ico|css|js|pdf)$ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;
        }
    }
}

2.2 配置說明

• valid_referers: 指定合法的Referer值。none表示沒有Referer頭，blocked表示Referer頭被防火墻或代理服務器修改過，example.com和*.example.com表示允許的域名。
• if ($invalid_referer): 如果Referer頭不合法，則返回403狀態碼。

2.3 自定義錯誤頁面

可以為防盜鏈配置自定義錯誤頁面，提升用戶體驗：

server {
    listen 80;
    server_name example.com;

    location ~* \.(jpg|jpeg|png|gif|ico|css|js|pdf)$ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;
        }
    }

    error_page 403 /403.html;
    location = /403.html {
        root /usr/share/nginx/html;
    }
}

2.4 使用Nginx模塊

Nginx還提供了ngx_http_referer_module模塊，可以通過valid_referers指令更靈活地配置防盜鏈。例如，可以允許特定的Referer頭，同時拒絕其他所有請求：

server {
    listen 80;
    server_name example.com;

    location ~* \.(jpg|jpeg|png|gif|ico|css|js|pdf)$ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;
        }
    }
}

3. 綜合配置示例

以下是一個綜合配置示例，同時配置了跨域訪問和防盜鏈：

server {
    listen 80;
    server_name example.com;

    # 跨域訪問配置
    location /api/ {
        add_header 'Access-Control-Allow-Origin' '*';
        add_header 'Access-Control-Allow-Methods' 'GET, POST, OPTIONS';
        add_header 'Access-Control-Allow-Headers' 'DNT,User-Agent,X-Requested-With,If-Modified-Since,Cache-Control,Content-Type,Range';
        add_header 'Access-Control-Expose-Headers' 'Content-Length,Content-Range';

        if ($request_method = 'OPTIONS') {
            add_header 'Access-Control-Max-Age' 1728000;
            add_header 'Content-Type' 'text/plain; charset=utf-8';
            add_header 'Content-Length' 0;
            return 204;
        }

        proxy_pass http://backend_server;
    }

    # 防盜鏈配置
    location ~* \.(jpg|jpeg|png|gif|ico|css|js|pdf)$ {
        valid_referers none blocked example.com *.example.com;
        if ($invalid_referer) {
            return 403;
        }
    }

    # 自定義錯誤頁面
    error_page 403 /403.html;
    location = /403.html {
        root /usr/share/nginx/html;
    }
}

4. 總結

通過Nginx的靈活配置，可以輕松實現跨域訪問和防盜鏈功能?？缬蛟L問配置主要依賴于add_header指令，而防盜鏈配置則依賴于valid_referers指令和if條件判斷。合理配置這些功能，不僅可以提升網站的安全性，還能有效節省帶寬資源。

在實際應用中，建議根據具體需求調整配置，并進行充分的測試，以確保配置的正確性和有效性。