安全 系列干货|Token 防盗链算法详解
前言
随着互联网的高速发展，无论是移动 APP 还是 WEB 站点，访问的安全问题始终困扰着内容提供商。CDN ( Content Delivery Network，内容分发网络 ) 服务作为当今互联网世界的快递专家扮演着更重要的角色，也承担了更多的使命，在使用 CDN 服务的过程中，内容提供商提出了如下要求：
内容资源在经过 CDN 分发时，不被其他人恶意引用或者被非法下载
确保在使用 CDN 服务的过程中避免产生不必要的 CDN 带宽浪费，从而节约成本
CDN 服务提供商提供的防盗链措施不容易被破解和绕过
基于以上要求，又拍云作为云 CDN 厂商的代表，认为传统的 IP 禁用、referer 防盗链、User-Agent 防盗链、地区访问控制等防盗链措施已经无法完全满足用户要求，今天我们专门来介绍一下更加高级的 token 防盗链。文章的末尾，为了实现更加灵活的 token 防盗链配置，我们引入了又拍云自定义 rewrite 功能。
如何实现
Token 防盗链是通过对时间有关的字符串进行签名，将时间、签名信息通过一定的方式传递给 CDN 节点服务器作为判定依据，CDN 边缘节点依据约定的算法判断来访的 URL 是否有访问权限。如果通过，执行下一步；如果不通过，响应 HTTP 403 状态码或者通过 302 跳转到其他 URL。
1、签名参数
etime: URL 过期的时间，必须是 UNIX TIME 格式，如：2017/3/9 9:19:0 -> 1489022340