使用七牛的注意了一定要开启防盗链白名单

七牛云存储目前应该是最适合草根博客站长们使用的一个云存储了，明月也一直在推荐这个云服务，特别是剥离了“动静分离”的“融合 CDN”对于国内主机优化来说速度提升是非常明显的，并且每月都有免费的 10G 流量赠送，简直就是我们草根博客站长们的“福利”，在 WordPress 下配合本地缓存使用博客网站速度提升是非常明显的，这个明月在【明月的 WordPress 优化思路总结』一文里已经着重的强调过其优势了。

但是凡事都是有利有弊的，七牛同样有不足，最主要的就是其“融合 CDN ”的流量防护能力比较弱，因为是融合了各家优质 CDN 服务商的 CDN 服务所以在抵御“恶意刷流量”时显得很是力不从心，其实这也不能说都是七牛的责任，毕竟各家 CDN 服务商的服务接口是很难统一的，所以在使用七牛云的时候就会发生被“刷流量”给我们造成不必要的损失。

在【七牛流量被盗刷后！』一文里，明月已经给大家真实的展现了被盗刷流量后的维权经过了，虽然明月维权成功了，但是还是要总结经验教训的。按理说如果被盗刷流量用户自己防范意识淡薄是主要原因，所以我们先不说七牛自身存在的不足。我只做好自己该做的事儿，明月在这方面就是“大意”了，才会碰上“被盗刷流量”的，好在发现的及时要是发现的晚的话，损失估计都要几千元了，到时维权估计也没有这么轻松了。

[ad]

其实，七牛提供了不少安全措施的，但是就明月这半个月的体验来说比较适合我们博客站长使用的还“防盗链”里的“白名单”功能，至于说黑名单、时间戳防盗链不是防御能力有限就是部署太复杂了。

1、防盗链黑名单不足之处：

防盗链黑名单有点儿“亡羊补牢”的感觉，并且只支持域名不支持 IP，盗刷流量一般都是 IP 类仿冒爬虫的，所以只用“黑名单”毫无用处。

2、时间戳防盗链不足之处：

这个，明月也具体的了解过了，部署很复杂，可以说需要一定的代码基础才可以自我实现，对我们草根来说很不现实。水煮鱼的“七牛云存储”插件也明确说不会支持七牛的“时间戳防盗链”功能，所以，我们能使用的也就是“防盗链白名单”了。

关于“白名单”意思其实很简单，就是允许那些“域名”调用我们博客的静态资源（七牛云只是存储了我们的静态资源文件）文件，这个调用有时可能不是显性的，比如百度蜘蛛抓取、第三方自媒体平台（今日头条、百度百家号、一点资讯等）编辑器自动保存图片、第三方平台（同步分享到新浪微博、新浪博客等）调用获取静态文件等等，所以这个“白名单”就需要我们仔细的分析自己愿意授权调用我们博客静态资源的域名有哪些？并记录下来放到这个“白名单里”即可，并且这个白名单主要是针对七牛云的“融合 CDN ”的，所以在域名填写上不能仅仅填写主域名（如：baidu.com 这就是主域名）就可以了，还需要加上通配符来和主域名来提高兼容性（毕竟七牛融合 CDN 是用了很多家 CDN 服务商的），比如：www.baidu.com、*.baidu.com。具体大家可以参考下面的“明月目前使用的七牛防盗链白名单”来根据自己的情况修改使用，可能需要多次修改才会获得最好的效果。

明月目前使用的七牛防盗链白名单[s][p]

mp.qq.com

www.chinaso.com

www.sogou.com

www.baidu.com

*.sogou.com

*.baidu.com

*.toutiao.com

*.sina.com

*.yidianzixun.com

www.so.com

*.qzone.qq.com

*.google.com

*.qq.com

openmail.qq.com

mp.yidianzixun.com

www.toutiao.com

img.t.sinajs.cn

mp.toutiao.com

www.imydl.com

*.sinajs.cn

www.ymanz.com

service.weibo.com

*.so.com

*.bing.com

mail.qq.com

*.ymanz.com

cn.bing.com

www.google.com

s.share.baidu.com

*.weibo.com

[/p]

七牛的“防盗链白名单”最多只能支持 30 个域名，所以大家尽量找准自己愿意被访问的域名以免我们的外链建设失效。

关于“是否允许空 Referer”是选择“是”还是“否”取决于我们博客站当前使用七牛静态资源的方式不同来灵活选择的，“是”就是指允许通过浏览器地址栏直接访问资源 URL（即允许空 referer ），“否”就是不允许，如果我们列表页的缩略图使用了七牛云空间的图片的话【分享几个有关七牛云和评论邮件的实用代码』在“不允许空 Referer”的时候就会出现“缩略图”都失效，所以我们要根据自己的情况区别对待的，目前明月自己的博客时“允许空 Referer”的，因为我的首页、列表页缩略图都是调用七牛云空间上的图片的。

基本上“白名单”可以抵御大部分的“盗刷流量”了，至少明月用着半个多月以来没有再出现过流量过高的现象，其实最好的还是禁止空 Referer 最好，这样防御更全面一些如果你的主机性能可以承受缩略图调用完全可以去掉调用七牛图片生成缩略图的代码即可了！

明月登楼博客