如何配置Apache2的防盗刷功能

首页

编程语言

如何配置Apache2的防盗刷功能

热心网友

转载

2026-05-04

配置Apache2的防盗刷功能

网站资源被恶意刷取，是很多运维人员头疼的问题。好在Apache2提供了多种灵活的手段来应对，从基础的请求限制到更精细的访问控制，都能有效筑起防线。下面这张图概括了主要的防护思路：

免费影视、动漫、音乐、游戏、小说资源长期稳定更新！ 👉 点此立即查看 👈

如何配置Apache2的防盗刷功能

接下来，我们具体看看几种主流且实用的配置方法。

方法一：使用mod_rewrite限制请求频率

作为Apache的“瑞士军刀”，mod_rewrite模块不仅能做URL重写，用来拦截特定请求也是一把好手。它的思路很直接：设定规则，把“不受欢迎”的访问拒之门外。

启用mod_rewrite模块：
首先，确保这个模块已经加载并启用。
```
sudo a2enmod rewrite
sudo systemctl restart apache2
```

编辑Apache配置文件：
打开你的站点配置文件（通常位于/etc/apache2/sites-a vailable/your-site.conf），在对应的或区块内添加规则。比如，你想屏蔽某个IP对特定资源的访问，可以这样配置：


    ServerAdmin webmaster@localhost
    DocumentRoot /var/www/html

    
        Options Indexes FollowSymLinks
        AllowOverride All
        Require all granted
    

    # 限制请求频率
    RewriteEngine On
    RewriteCond %{REMOTE_ADDR} ^123\.456\.789\.000$  # 替换为你的IP地址
    RewriteCond %{REQUEST_URI} ^/path/to/protected/resource$  # 替换为你想要保护的资源路径
    RewriteRule .* - [F,L]

    ErrorLog ${APACHE_LOG_DIR}/error.log
    CustomLog ${APACHE_LOG_DIR}/access.log combined

这段配置的效果很明确：当来自指定IP的请求试图访问特定路径时，Apache会直接返回403禁止访问状态码。这种方法适合应对已知的恶意IP。

方法二：使用mod_evasive限制请求频率

如果说mod_rewrite是手动定点清除，那么mod_evasive就是自动化的频率防火墙。它专门用于防御DoS或暴力请求，通过监控请求频率来自动封禁异常IP。

安装mod_evasive：
在Debian/Ubuntu系统上，安装非常方便。
```
sudo apt-get install libapache2-mod-evasive
```
启用mod_evasive：
安装后启用模块并重启服务。
```
sudo a2enmod evasive
sudo systemctl restart apache2
```
编辑Apache配置文件：
在配置文件（如apache2.conf或站点配置）中加入以下参数来定义防护阈值：
```
    DOSHashTableSize 3097
    DOSPageCount 2
    DOSSiteCount 50
    DOSPageInterval 1
    DOSSiteInterval 1
    DOSBlockingPeriod 10
```
这几个参数是调优的关键，可以根据实际流量情况进行调整：
- DOSHashTableSize：哈希表大小，影响追踪效率。
- DOSPageCount：同一页面在DOSPageInterval秒内允许的请求次数。
- DOSSiteCount：同一客户端在DOSSiteInterval秒内对全站允许的总请求次数。
- DOSPageInterval与DOSSiteInterval：计数重置的时间间隔（秒）。
- DOSBlockingPeriod：触发限制后，IP被封锁的时长（秒）。
简单来说，这相当于给每个访客设定了一个“行为规范”，短时间内请求过于频繁，就会被暂时关进“小黑屋”。

方法三：检查Referer头

防盗链是另一种常见的“防盗刷”场景，防止站外用户直接链接你的图片、文件等资源。通过验证HTTP请求中的Referer头信息，可以判断请求是否来自你自己的网站。

编辑Apache配置文件：
同样在区块内，利用mod_rewrite实现Referer检查。
```
    Options Indexes FollowSymLinks
    AllowOverride All
    Require all granted

    RewriteEngine On
    RewriteCond %{HTTP_REFERER} !^https://(www\.)?yourdomain\.com [NC]
    RewriteRule .* - [F,L]
```
这个配置的意思是：除非请求来自yourdomain.com（或其www子域），否则一律拒绝。这能有效防止资源被其他网站直接盗用。

方法四：使用第三方模块或服务

当然，如果觉得自行配置和维护规则比较繁琐，或者需要应对更复杂的攻击，完全可以借助更强大的外部力量。像Cloudflare、Akamai这样的专业CDN和安全服务商，提供了包括速率限制、智能挑战、WAF（Web应用防火墙）在内的一整套高级防盗刷和DDoS缓解方案。对于业务重要、流量较大的网站，这往往是一个更省心且高效的选择。