理解防盗链的基本原理
在网站日常运维中，资源盗链是一个常见问题。当您服务器上的图片、视频或其他文件被外部网站直接调用时，不仅会无谓消耗您的服务器带宽与计算资源，推高运营成本，还可能影响自身网站的正常访问速度。对于采用微软IIS搭建网站的管理员而言，配置有效的防盗链策略是保障资源安全、控制成本的关键一步。防盗链技术的核心在于校验HTTP请求头中的“Referer”（或“Referrer”）字段。该字段标识了请求发起的来源页面地址。IIS服务器通过预设规则，分析Referer信息，智能判断请求是否来自许可的域名，进而决定是正常响应资源还是予以拦截。
在IIS管理器中配置URL重写规则
对于IIS 7及后续版本，利用内置的“URL重写”模块是实现防盗链功能最推荐的方法。首先，请确认服务器已安装此模块。启动IIS管理器，定位到需要防护的目标网站或具体目录，在功能视图界面找到并双击“URL重写”。进入后，于右侧“操作”面板点击“添加规则”，选择“空白规则”开始创建。为规则设定一个清晰的名称，如“防护图片视频盗链”。在“匹配URL”环节，模式框内可输入正则表达式以限定文件类型，例如 .*\.(jpg|jpeg|png|gif|bmp|webp|mp4|avi)$，此模式能覆盖绝大多数图片与视频格式。接下来是关键的条件设置：点击“添加条件”，选择服务器变量 {HTTP_REFERER}，并根据您的策略输入匹配模式。若需允许浏览器地址栏直接输入或书签访问等空Referer场景，可通过逻辑分组构建更精细的规则。
设置允许访问的域名白名单
一套高效的IIS防盗链方案，必须在拦截非法盗链的同时，保障合法用户的顺畅访问。建立“域名白名单”是实现这一平衡的核心。在URL重写规则的条件设置中，您可以配置逻辑：当HTTP_REFERER存在且不属于许可的域名列表时，触发阻止动作。例如，设置条件为 {HTTP_REFERER} 与模式 ^https?://(www\.)?(yourdomain\.com|trusted-site\.org)(/.*)?$ 不匹配。请务必将“yourdomain.com”和“trusted-site.org”替换为您实际的主域名及可信合作伙伴域名。同时，为兼容搜索引擎爬虫抓取、用户直接打开链接等Referer为空的情况，可额外添加一个检查空Referer的条件，使用模式 ^$，并将其与白名单条件通过“或”逻辑关联。如此，规则将精准放行白名单来源及空Referer请求，仅拦截明确的外站盗链。
定义阻止动作与自定义响应
当检测到盗链请求并匹配规则后，需要明确服务器如何响应。在URL重写规则的“操作”设置区域，将“操作类型”选定为“自定义响应”。状态码通常设置为“403 禁止访问”，以明确拒绝请求。您也可以选择更具用户体验的方式，例如返回一张自定义的提示图片（如“资源仅限本站访问”）。此时，状态码可设为“200 OK”，并在下方的“响应文件路径”属性中，填写该提示图片在服务器上的完整物理路径。所有配置完成后，务必点击右侧“应用”按钮使规则生效。建议立即进行跨站测试：尝试从一个未列入白名单的外部网站链接您受保护的资源，验证是否成功被拦截。此防盗链规则会以XML形式保存于站点或目录的web.config文件中，方便后续管理、迁移与版本备份。
注意事项与进阶优化
完成基础配置后，了解一些注意事项能让防盗链策略更完善。首先需知，HTTP Referer头信息可以被某些客户端工具篡改或禁用，因此该方法主要防御一般性盗链，并非万无一失。其次，如果您的网站内容需要被搜索引擎良好收录，或希望通过社交媒体、邮件、即时通讯软件分享，请务必将这些平台的域名（如搜索引擎爬虫的User-Agent特征、主流社交媒体的域名）加入白名单，以确保分享预览图正常显示。在使用了内容分发网络（CDN）的场景下，需在CDN配置中设置回源时携带特定Referer，并在IIS的白名单内加入CDN服务商的域名，避免CDN节点无法抓取资源。定期审查服务器访问日志，监控异常流量模式，并根据新出现的盗链来源及时调整规则，是持续优化网站资源安全、有效节约带宽开支的必要工作。
