Referer伪造,防盗链与反盗链相关
Referer伪造,防盗链与反盗链相关
注：本文内容是搜集网上的帖子整理而成
Referer简介
简单来说，Referer是HTTP协议中的一个请求报头，用于告知服务器用户的来源页面。比如说你从Google搜索结果中点击进入了某个页面，那么该次HTTP请求中的Referer就是Google搜索结果页面的地址。如果你的某篇博客中引用了其他地方的一张图片，那么对该图片的HTTP请求中的Referer就是你那篇博客的地址。
一般Referer主要用于统计，像CNZZ、百度统计等可以通过Referer统计访问流量的来源和搜索的关键词（包含在URL中）等等，方便站长们有针性对的进行推广和SEO什么的
当然Referer另一个用处就是防盗链了，主要是图片和网盘服务器使用的较多。盗链的危害不言而喻，侵犯了版权不说，增加了服务器的负荷，却没有给真正的服务提供者带来实际利益（广告点击什么的）
另外要注意的是，Referer是由浏览器自动为我们加上的，
以下情况是不带Referer的
2. 使用 JavaScript 的 Location.href 或者是 Location.replace()
3. HTTPS等加密协议
4. 当然你可以通过在Chrome或者Firefox浏览器中安装一些插件去除Referer甚至进行Referer欺骗。如果是自己写爬虫的话，Referer是完全受我们掌控的，想怎么改就怎么改~
5.使用html5中noreferrer
noreferrer
noreferrer
很明显IE8以及以下肯定是不支持的
chrome正常点击的话没问题，但是假如是右击链接然后重新窗口或标签打开，同样会传递referer
6.使用 meta refresh 重定向的网址。
这个会多出来个跳转页面，
IE8支持，chrome同样携带referer
反反盗链
反盗链的方法这里就不多说了，网上一搜一箩筐，不同平台有不同的实现方法。
加入反盗链机制后，从其他非服务提供者指定的来源的HTTP请求就得不到正常结果了，比如百度的反盗链机制~
当然，访问用户可以通过给浏览器安装一些插件去除Referer来正常显示，但是并非每一个用户都那么爱折腾。有没有一个简单粗暴跨平台跨浏览器的服务器端解决方案呢？也就是说访问用户什么都不用做就可以正常显示。
同样是百度域名下面的图片，为什么一张可以正常显示，另一张就显示盗链呢？我们来抓包看看
图略
看到了吗？正常显示的那张图片的HTTP请求中没有Referer，所以我们得到了正常的结果
那么问题来了——Referer是怎么去除的呢？
这里我用到了 referrer-killer ，
粗看referrer-killer的原理并不复杂，动态生成了一个iframe，并在这个iframe里面加入img标签来进行显示。
等等，如果仅仅是这样的话Referer依然会存在，要么是iframe父页面的地址，要么是iframe属性中src的地址，详情请戳 What is the HTTP Referer if the link is clicked in an