关于nginx防盗链鉴权的问题

simonw

一般的场景是这样
www.xxx.com 主站
down.xxx.com 下载域名

如果防盗链鉴权里使用了IP作为一个元素，那么会在不到1%的用户里出现一个问题，就是不同的域名，获取到的用户IP是不一样的。

目前想到的一个办法就是，先在www域名里，去抓一下down里的一个接口，这个接口返回用户的IP，并且，是使用非对称加密的，把加密结果提交给www，www处理后，拿到真实IP（down域名下的），然后用真实IP，生成最终的鉴权链接。


如果在不同的域名下使用IP鉴权，目前能想到的，这可能是唯一的办法了。

darun2012

啊这，说的好啊，你说的对

1121744186

以前遇到过，貌似是路由或者部分浏览器云加速导致的，同一个用户，访问2个域名，获取到的IP缺不一样（已经获取的是真实IP），这种需要Lua redis 或者 远程 http 鉴权，或者取消IP，或者 签名带上IP参数计算

qcgzxw

ip鉴权是出于什么考虑呢？
一般不是时间戳+referer url+secret验证吗

simonw

qcgzxw 发表于 2023-2-14 15:38
ip鉴权是出于什么考虑呢？
一般不是时间戳+referer url+secret验证吗

有些极端的场景下可能会用到