如何在 Golang Web 框架中实现防刷防盗链的 Referer 白名单校验-Golang-PHP中文网

referer校验不能仅用字符串匹配，需先解析并规范化为scheme+host，再与白名单精确比对；空referer需明确策略；gin中须显式return防后续执行；fasthttp要注意字节切片拷贝和url解码；referer仅作辅助，须结合签名、token等多重防护。

如何在 golang web 框架中实现防刷防盗链的 referer 白名单校验

Referer 校验为什么不能只靠字符串匹配

直接用 strings.Contains(r.Header.Get("Referer"), "example.com") 会漏掉协议差异、子域名绕过和空 Referer 误判。浏览器可能发空 Referer（比如从 HTTPS 页面跳转到 HTTP），也可能带端口或路径后缀，硬匹配容易把合法请求拦掉，或者被构造 Referer 绕过。

必须先规范化 Referer：提取 scheme + host（去掉 path、query、port 若为默认值）
白名单应存为 []string，每个元素是完整 host（如 "app.example.com"），不带协议和斜杠
对空 Referer 的处理要明确：允许、拒绝，还是降级校验（比如配合 token）
注意 Go 的 net/http.Request.Referer() 是 getter 方法，不是字段，别写成 r.Referer

在 Gin 中中间件里做 Referer 白名单校验

Gin 的中间件最常用，但要注意 c.Abort() 后必须显式返回，否则后续 handler 仍可能执行。Referer 校验失败时，别只写 c.Abort() 就完事。

用 url.Parse(c.Request.Referer()) 解析，检查 err 和 u.Host 是否为空
用 strings.HasSuffix(host, whiteItem) 或精确匹配（推荐后者），避免 "evil.com.example.com" 这类子域名污染

示例片段：

if referer == "" {
    c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "missing referer"})
    return
}
u, err := url.Parse(referer)
if err != nil || u.Host == "" {
    c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "invalid referer"})
    return
}
allowed := false
for _, domain := range whitelist {
    if u.Host == domain {
        allowed = true
        break
    }
}
if !allowed {
    c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "referer not allowed"})
    return
}

FastHTTP 场景下 Referer 获取和性能陷阱

fasthttp 不兼容标准库的 *http.Request，它的 Request 是复用结构体，Header.Peek("Referer") 返回的是字节切片，直接转 string 会有内存拷贝开销；更关键的是，它不自动 decode URL 编码，某些 Referer 值含 %20 等编码需手动处理。

Golang Naming

Go（Golang）命名规范 — 包括包、构造函数、结构体、接口、常量、枚举、错误、布尔值、接收器、getter/setter、函数等。

下载

用 string(ctx.Request.Header.Peek("Referer")) 获取原始值，不要用 ctx.Request.Referer()（该方法已弃用）
若白名单含国际化域名（IDN），需先用 golang.org/x/net/idna 转 Punycode，再比对
避免在每次请求中重复初始化白名单 slice —— 提前定义为包级变量或传入中间件闭包
测试时用 curl -H "Referer: https://sub.example.com/path" ... 验证 host 提取逻辑，别依赖浏览器自动带 Referer

防盗链和防刷要组合使用，单靠 Referer 很脆弱

Referer 可被任意伪造（curl、Postman、甚至浏览器开发者工具都能改），纯前端控制毫无意义。它只能作为第一道轻量过滤，真正要防刷，得叠加其他手段。

静态资源（图片、JS、CSS）可结合 Nginx 的 valid_referers 做前置拦截，减轻 Go 服务压力
关键接口必须配签名（如 timestamp + sign）或短期 token（JWT），Referer 只作辅助维度
高频请求需记录 IP + Referer + User-Agent 组合，用 Redis 做滑动窗口计数，超限则拒绝
注意移动端 WebView 和小程序环境：微信 WebView 的 Referer 固定为 https://servicewechat.com/，不能按 Web 规则校验

Referer 白名单本身很简单，但把它嵌进真实业务流时，边界情况比想象中多——空值、编码、IDN、WebView 特性、CDN 缓存干扰，都得一个个实测确认。