Object Storage Service:Perlindungan hotlink

Cara kerja

Saat browser meminta file OSS, header HTTP Referer mengidentifikasi halaman yang melakukan permintaan. OSS memvalidasi nilai Referer ini untuk memverifikasi asal permintaan.

Setelah Perlindungan hotlink dikonfigurasi, OSS mengevaluasi permintaan dalam urutan berikut:

1. Pemeriksaan Referer kosong: OSS memeriksa apakah Referer kosong. Jika kosong, logika berikut berlaku:

   • Jika Anda mengizinkan permintaan dengan Referer kosong, permintaan tersebut diizinkan.

   • Jika Anda tidak mengizinkan permintaan dengan Referer kosong dan daftar putih kosong, permintaan tersebut diizinkan.

   • Jika Anda tidak mengizinkan permintaan dengan Referer kosong dan daftar putih tidak kosong, permintaan tersebut ditolak.

   Jika Referer tidak kosong, pemeriksaan dilanjutkan ke langkah berikutnya.

2. Pemeriksaan blacklist: OSS memeriksa apakah Referer cocok dengan entri apa pun di blacklist. Kecocokan mengakibatkan penolakan segera — daftar putih tidak diperiksa. Jika tidak cocok, pemrosesan dilanjutkan.

3. Pemeriksaan daftar putih: OSS memeriksa apakah Referer cocok dengan entri apa pun di daftar putih. Kecocokan mengizinkan permintaan; ketidakcocokan menolaknya.

Prosedur

1. Buka daftar Buckets dan klik bucket target.

2. Di panel navigasi kiri, pilih Content Security > Hotlink Protection. Aktifkan opsi Hotlink Protection dan konfigurasikan aturan Referer sesuai kebutuhan:

   • Referer Whitelist: Domain yang diizinkan mengakses sumber daya Anda. Masukkan satu per baris.

   • Referer Blacklist: Domain yang ditolak aksesnya. Masukkan satu per baris. Blacklist memiliki prioritas lebih tinggi daripada daftar putih.

   • Allow Empty Referer: Apakah akan mengizinkan permintaan tanpa header Referer, seperti akses langsung melalui browser.

   • Truncate QueryString: Apakah akan mengabaikan string kueri setelah ? dalam URL saat pencocokan. Aturan penguraian string kueri.

   Aturan Referer mendukung wildcard:

   Wildcard	Description	Example
   *	Mencocokkan nol atau lebih karakter.	*.example.com mencocokkan http://www.example.com dan https://help.example.com.
   ?	Mencocokkan satu karakter.	http://www.aliyun?.com mencocokkan http://www.aliyunc.com.

   Aturan Referer juga mendukung domain atau alamat IP dengan port, seperti http://www.example.com:8080 dan 10.10.10.10:8080.

   Catatan

   Pencocokan peka terhadap protokol. Aturan untuk http://www.aliyun.com tidak mencocokkan https://www.aliyun.com. Tambahkan entri untuk HTTP dan HTTPS.

3. Klik Save untuk menerapkan pengaturan.

Kasus penggunaan

# Simulasikan permintaan dari Referer yang ada di daftar putih (diharapkan berhasil)
curl -e "http://www.aliyun.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari Referer yang tidak ada di daftar putih (diharapkan mengembalikan AccessDenied)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dengan Referer kosong (diharapkan berhasil)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari website normal (diharapkan berhasil)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari website yang diblokir (diharapkan mengembalikan AccessDenied)
curl -e "http://bad-site.example" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dengan Referer kosong (diharapkan berhasil)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari program mini WeChat (diharapkan berhasil)
curl -e "https://servicewechat.com/wx1234567890abcdef/1/page-frame.html" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari sumber lain (diharapkan mengembalikan AccessDenied)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dengan Referer kosong (diharapkan berhasil)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan akses dari konsol (diharapkan berhasil)
curl -e "https://oss.console.alibabacloud.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari website (diharapkan berhasil)
curl -e "http://www.example.com" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan akses langsung (diharapkan mengembalikan AccessDenied)
curl http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

# Simulasikan permintaan dari website lain (diharapkan mengembalikan AccessDenied)
curl -e "http://other.example" http://your-bucket-name.oss-cn-hangzhou.aliyuncs.com/demo.txt

Aturan penguraian string kueri

Jika Anda menonaktifkan opsi Truncate query string, OSS mengurai string kueri sebagai berikut:

Pertimbangan produksi

• Risiko bypass cache CDN: Permintaan hotlinking mungkin mengenai node edge CDN dan dilayani dari cache, melewati Perlindungan hotlink OSS. Untuk mencegah hal ini, juga konfigurasikan aturan Perlindungan hotlink Referer yang sama pada CDN Anda.

• Dampak Referrer-Policy browser: Browser mendukung header Referrer-Policy, yang mengontrol seberapa banyak informasi Referer yang dikirim dalam permintaan lintas asal. Kebijakan seperti no-referrer menyebabkan browser menghilangkan Referer, dan OSS memperlakukan ini sebagai permintaan dengan Referer kosong. Pertimbangkan hal ini saat mengonfigurasi aturan.

• Kompatibilitas pemutaran video: Tag video native browser mengirim permintaan awal dengan Referer dan permintaan data media berikutnya dengan Referer kosong. Agar pemutaran video berfungsi, Anda harus mengizinkan akses untuk permintaan dengan Referer kosong.

Kuota dan batasan

• akses anonim atau signed URL. Panggilan API yang ditandatangani dengan AccessKey (permintaan yang menyertakan header Authorization) tidak dibatasi oleh aturan Perlindungan hotlink.

• Batas ukuran daftar: Gabungan daftar putih dan blacklist Referer tidak boleh melebihi 20 KB.

• Lingkup: Perlindungan hotlink berlaku di tingkat bucket. Aturan per objek atau per direktori tidak didukung.

FAQ