日期:2014-05-17  浏览次数:20752 次

定制Apache的防盗链模块 Mod_perl<1>
from http://bbs.chinaunix.net/viewthread.php?tid=1039570
定制Apache的防盗链模块
Author: Jeff Pang pangj@earthlink.net
Date: 2008-1-8

网上介绍比较多的防盗链配置方法是使用reference来识别请求是否来自本站。但reference的弊端是很容易伪造,如迅雷之类的工具就使用了伪造的reference,让防盗链设置无效。

这里介绍的方法是自己定制Apache的防盗链模块。一般防盗链要保护的是可供下载的大型文件,如视频、图片等。这些文件以链接形式嵌入在网页里,通过点击来获取文件的绝对路径。如果嵌在网页里的文件路径未作任何保护,例如某个视频文件路径是:

http://example.com/1234.rm

那么恭喜你,不久你就会被迅雷等网站收录,成为他们的流量贡献节点了。

但如果这个视频文件的路径是:

http://example.com/1234.rm?a=33d591d3ba7ae0cedc99a65f723ad0ea

a=后面是md5加密的验证串,Apache服务器会获取这个验证串并进行校验,如果合法,则允许下载,否则拒绝访问(返回403)。这样一来,别人不知道你的验证串加密算法,也就不能盗链你的资源了。

这个串由前台网页程序产生,由后台的Apache服务器来进行验证。这里假定网页程序是PHP,当然也可以是其他任何动态语言如Perl、Python、Java等。PHP和下载服务器的Apache模块共同约定此算法,因为PHP产生一个md5加密串,后台的Apache需要用相同算法产生一个md5串,并进行对比校验。这个串的产生条件,通常包括用户IP、目标文件ID、访问时间、双方约定的ShareKey等。将这些条件联合起来,并用md5加密成一个串,然后将该串作为参数传给下载服务器的Apache。Apache获取到请求后,再对这个串进行校验。

如何在Apache端配置这个防盗链模块呢?这里我使用modperl。modperl是个非常强大的开发工具,它可以访问Apache内部的所有API,可以在Apache响应处理的各个阶段定制自己的处理器。mod_rewrite想必很多人都知道它的强大,其实mod_rewrite的功能,用modperl也可以轻松的编写出来。

Apache处理一个请求分成很多个阶段,这里我们只要在Access这个阶段做一些处理就够了。也就是说,在Apache里加载一个处理器,在文件被访问前,由该处理器对验证串进行校验,校验通过才允许访问。

在使用modperl之前,首先需要装好它。Apache有1.3版本和2.x版本,同样modperl也有1.0版本和2.0版本。1.0版本已停止开发了,处于维护阶段。出于更好的性能考虑,我们使用httpd 2.0和modperl 2.0版本。

modperl需要结合Apache进行安装,并且需要安装libapreq2。安装过程请见我的另一篇文档:http://pyh7.spaces.live.com/blog/cns!47D8D44208AC51E5!128.entry

装好modperl后,修改httpd.conf配置文件,增加如下配置:

1. PerlPostConfigRequire /opt/httpd2/run/startup.pl
2.
3. <Location /protect>
4.   SetHandler modperl
5.   PerlAccessHandler DLAuth2
6.
7.   PerlSetVar ShareKey TestKey
8.   PerlAddVar PassAuthIPs 192.168.0.1-192.168.0.254
9. </Location>

第1行的startup.pl是初始配置文件,这个文件主要有2个作用:加载处理器的运行目录,和预加载一些类库。
第3行表示/protect这个web目录下的文件,都受防盗链保护。
第4行表示设置处理器类型为modperl。
第5行是关键,这里加载了我们的Access验证模块,模块名是DLAuth2。
第7行是加密验证串的shareKey,这个Key也需要告诉前台的网页开发人员。
第8行是防盗链白名单IP,若没有,则注释掉该行即可。

接着,在Apache的根目录(这里假定是/opt/httpd2)下面创建一个run子目录,将防盗链模块DLAuth2.pm和startup.pl都放在该目录下。另外,创建/protect这个web根目录(例如/opt/httpd2/htdocs/protect),将需要防盗链保护的文件(如视频或图片)放在这个目录下,也可以将其他文件目录link或mount到该目录下。

startup.pl的内容类似如下:

use strict;

use lib qw(/opt/httpd2/run);  # 加载处理器的运行目录

#use Apache2::RequestIO ();  # 预加载的类库
use Apache2::RequestRec ();
use Apache2::Connection ();
use Apache2::RequestUtil ();
use Apache2::ServerUtil ();
use Apache2::Log ();
use Apache2::Request ();

1;  # 不要丢了这个1,表示返回真给调用者

DLAuth2.pm内容类似如下:

package DLAuth2;

use strict;
use warnings;
use Socket qw(inet_aton);
use POSIX qw(strftime);
use Digest::MD5 qw(md5_hex);

#use Apache2::RequestIO ();
use Apache2::RequestRec ();
use Apache2::Connection ();
use Apache2::RequestUtil ();
use Apache2::ServerUtil ();
use Apache2::Log ();
use Apache2::Request ();

use Apache2::Const -compile => qw(OK FORBIDDEN);

sub handler { # 处理器的钩子函数,函数名不能改

    my $r = shift;  # 请求目标
    my $q = Apache2::Request->new($r);
    my $s = Apache2::ServerUtil->server;

    my $ip = $r->connection->remote_ip;  # 获取访问者IP
    my $fid = $q->param('fid') || get_fileid();  # 获取目标文件ID

    my $ip_int = ip2int($ip);  # 将IP转换成大整数
    my $shareKey = $r->dir_config('ShareKey') || '';  # 从配置文件获取shareKey
    my @passip = $r->dir_config->get('PassAuthIPs'); # 从配置文件获取白名单IP
    my @passip_int;  # 白名单IP数组

&