最近做的一個主管安排的專案，給一個系統多增加一套前端模板，這個本身不難，由於演算法那邊不能提供資料，我隨便複製的網上圖片連結，發現有些圖片不能正常顯示，後來知道有些圖片加了“防盜鏈”，這讓我馬上想到了以前遇到的http請求頭中的referer屬性，這個訊息頭記錄了本網站的一些資源請求是來自哪個網站，如果利用這個referer的判斷，就可以實現過濾。

程式碼：

var express = require('express');
var app = express();
var fs = require('fs');
// 設定模板路徑，預設為./views
// app.set('views', path.join('views'));
app.engine('html', require('ejs').renderFile);
app.set('view engine', 'html');

app.get('/public/*',
    function (req, res, next) {
        var referer = req.headers.referer;
        console.log(referer);
        if (referer && referer.indexOf('localhost1') <= 0) {
            try {
                fs.readFile("./views/no.png", function (err, data) {
                    console.log("no");
                    res.writeHead(200, {"Content-type": "image/jpg"});
                    console.log(err);
                    // console.log(data);
                    res.end(data);
                });
            } catch (err) {
                console.log(err);
            }
        } else {
            try {
                fs.readFile("./views/a.jpg", function (err, data) {
                    console.log("normal");
                    res.writeHead(200, {"Content-type": "image/jpg"});
                    // console.log(data);
                    res.end(data);
                });
            } catch (err) {
                console.log(err);
            }
        }
    });
app.get('/', function (req, res) {
    res.render('index', {helloWorld: 'hello,world'});
});

app.listen(3000, function () {
    console.log('app listen at 3000');
});
 

referer是一個網站中某個資源的請求才會帶的屬性，如果是直接訪問圖片的這個地址，是不帶referer的，所以

這裡判斷的時候，先要判斷referer存在，再判斷是不是從某域發過來的請求，因為我們直接訪問地址的時候是想看到圖片結果的，只是一些網站引用我們的圖片連結時我們加以遮蔽。

還可以以中介軟體的形式：

var express = require('express');
var app = express();
var fs = require('fs');
// 設定模板路徑，預設為./views
// app.set('views', path.join('views'));
app.engine('html', require('ejs').renderFile);
app.set('view engine', 'html');

function sss (req, res, next) {
    var referer = req.headers.referer;
    console.log(referer);
    // console.log(referer.indexOf('localhost3'));
    if (referer && referer.indexOf('localhost1') >= 0) {
        next();
    } else {
        // console.log(res);
        console.log(1);
        // res.state(500).send('盜鏈圖片來自:<a href="xxxxx"></a>');
        res.send('盜鏈圖片來自:<a href="xxxxx"></a>');
        return false;
    }
}

app.get('/public/*',
    sss,
    function (req,res,next) {
    console.log(234234);
        try {
            fs.readFile("./views/a.jpg", function (err, data) {
                res.writeHead(200, {"Content-type": "image/jpg"});
                console.log(err);
                // console.log(data);
                res.end(data);
            });
        }catch (err) {
            console.log(err);
        }
});
app.get('/', function(req, res) {
    console.log(10);
    res.render('index', { helloWorld: 'hello,world' });
});

app.listen(3000, function() {
    console.log('app listen at 3000');
});
 

當然破解這種寫法的防盜鏈也很簡單，用中間伺服器偽造訊息頭就行了。