防止非法链接(referer)

简介:

转载:https://blog.csdn.net/QQ1012421396/article/details/62430154

前言:

HTTP Referer是header的一部分,当浏览器向web服务器发送请求的时候,一般会带上Referer,告诉服务器我是从哪个页面链接过来的,服务器藉此可以获得一些信息用于处理。比如从我主页上链接到一个朋友那里,他的服务器就能够从HTTP Referer中统计出每天有多少用户点击我主页上的链接访问他的网站。

Referer的正确英语拼法是referrer。由于早期HTTP规范的拼写错误,为了保持向后兼容就将错就错了。其它网络技术的规范企图修正此问题,使用正确拼法,所以目前拼法不统一。

案例:通过获取请求头中的referrer,来判断是否是非法链接

意思就是为了防止
直接访问下载的资源
不是从广告页面过来的链接

服务端Servlet:

package a;

import java.io.IOException;
import javax.servlet.ServletException;
import javax.servlet.annotation.WebServlet;
import javax.servlet.http.HttpServlet;
import javax.servlet.http.HttpServletRequest;
import javax.servlet.http.HttpServletResponse;

/**
 * Servlet implementation class dd
 */
@WebServlet("/dd")
public class dd extends HttpServlet {
    private static final long serialVersionUID = 1L;
    protected void doGet(HttpServletRequest request, HttpServletResponse response) throws ServletException, IOException {
        // TODO Auto-generated method stub
        response.setContentType("text/html;charset=utf-8");
        //得到referer头
        String referer = request.getHeader("referer");
        System.out.println("referer="+referer);
        /**
        * 判断非法链接:
        * 1)直接访问的话referer=null
        * 2)如果当前请求不是来自广告
        */
        if(referer==null || !referer.contains("/haha/NewFile.html")){
        response.getWriter().write("当前是非法链接,请回到首页。<a href='/haha/NewFile.html'>首页</a>");
        }else{
        //正确的链接
        response.getWriter().write("资源正在下载...");
        }
    }


}

客户端:

<!DOCTYPE html>
<html>
<head>
<meta charset="UTF-8">
<title>Insert title here</title>
</head>
<body>
广告内容,请猛戳这里。<br/>
<a href="/haha/dd">点击此处下载</a>
</body>
</html>
目录
相关文章
|
安全 应用服务中间件 Apache
目标URL存在http host头攻击漏洞
目标URL存在http host头攻击漏洞
1271 0
目标URL存在http host头攻击漏洞
|
2月前
|
安全 PHP 开发者
Web安全-URL跳转与钓鱼
Web安全-URL跳转与钓鱼
47 8
|
6月前
|
安全 Java 应用服务中间件
当遇到非法 URL 参数时,如何保障网页正常打开
访问如`http://example.com?a@b=1`的链接出现400 Bad Request错误,这是因为Tomcat不允许请求目标中含有非法字符。Spring Boot 2可通过配置`server.tomcat.relaxed-query-chars`来允许特殊字符,但这样做可能引入安全风险。因此,建议在Nginx层使用`rewrite_by_lua_block`和`ngx.redirect`进行重定向,将非法字符替换为合法形式,如`http://example.com?ab=1`,同时记录日志以监控。此方案能避免直接修改后端代码,提高安全性。
226 0
|
安全 开发者
在HTTPS安全页面中加载HTTP不安全的内容,如何绕过安全警告?
在HTTPS安全页面中加载HTTP不安全的内容,如何绕过安全警告?
329 0
|
前端开发
常见的 HTTP 状态码 + 猫图链接
常见的 HTTP 状态码 + 猫图链接
187 0
常见的 HTTP 状态码 + 猫图链接
|
SQL 存储 安全
链接注入(便于跨站请求伪造)
安全风险: 可能会劝说初级用户提供诸如用户名、密码、信用卡号、社会保险号等敏感信息 可能会窃取或操纵客户会话和 cookie,它们可能用于模仿合法用户,从而使黑客能够以该用户身份查看或变更用户记录以及执行事务 可能会在 Web 服务器上上载、修改或删除 Web 页面、脚本和文件
678 0
|
网络安全 PHP
PHPcurl访问HTTPS网址出错解决方法
PHPcurl访问HTTPS网址出错解决方法
|
Web App开发 存储 网络安全
Charles抓包以及解决抓取HTTPS请求unknown的问题
Charles抓包以及解决抓取HTTPS请求unknown的问题
7621 1
Charles抓包以及解决抓取HTTPS请求unknown的问题
|
SQL 安全 搜索推荐
网站被入侵导致阿里云违规URL屏蔽该如何处理
距离2022年元旦约越来越近,我们发现很多网站用IIS环境尤其是aspx+sqlserver架构的网站总是被攻击,具体症状首先是接到阿里云的通知说是有违规URL通知,然后过了几天发现百度site网站域名,多了很多与网站本身内容不相关的垃圾快照内容,从百度点击这个快照地址进去后显示404找不到页面,但从百度站长工具里抓取页面就能看到内容,说明攻击者对搜索引擎的UA标识做了判断进行混淆,导致从肉眼看不出任何问题,但快照依然在继续增加新收录。
474 0
网站被入侵导致阿里云违规URL屏蔽该如何处理
|
Java
http请求不带referer的解决方法
因业务需要,需要从&lt;a href=&quot;https://www.fgba.net/&quot; target=&quot;_blank&quot;&gt;富贵论坛&lt;/a&gt;收集数据到后台,然后再次重定向第三方jsp页面,但是在项目中,无法如何请求都无法跳转成功,每次都是404
993 0