如何彻底防止网站被恶意反代？

[Loyalsoldier]

想了一下，好像没有办法阻止，因为：

1. Referer 可以伪造；
2. 用户 IP 和 Forwarded For 都可以传递；
3. Host 可以显式定义为被反代的域名；
4. 如果用 Javascript 来判断域名，反代过程中可以用 Nginx sub_filter 或者 subs_filter 删掉该 Javascript 代码

不知道各位还有啥高见？

[gamexg]

2.你可以获得代理 ip 的，限制单个 ip 频率即可。
4.互相对抗，js 里别明文提供判断代码外加随机加定期更换，一般人应该没兴趣继续反代了。

[Loyalsoldier]

@gamexg #1 传递了用户 IP 和 X-forwarded-for 之后，怎么获取代理 IP ？

[Lax]

你看到的 remote address 就是代理的 ip 地址。
不是自己设置的 x-forwarded-for，仅作参考，不要信任就好了。
一般是从 x-forwarded-for 中反向查，去掉自己的所有代理地址之后，只信任剩下的下一个地址
如果从这个 ip 来的请求特别多就可以“关注”一下了

[gamexg]

@Loyalsoldier #2 你前面是不是有 CDN ？

没有 cdn 然后网站被通过反代访问时，remote_addr 获得的就是反代服务器的 ip。
有 cdn 就翻 cdn 文档，里面有写用户实际 ip 通过哪个字段传递给你了。

[doubleflower]

怎么没人反带我的网站,相当于帮我宣传了

[Livid]

直接用 iptables 封掉对方 IP。

[Foolt]

防不了，现在反代的人少了，更多的是采集。

[Loyalsoldier]

@Lax #3
@gamexg #4

感谢二位！我原本以为通过下面的方式，被反对的服务器就看不到反代服务器的 IP 了：

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

[Showfom]

第四点你把 js 代码混淆起来

[tan90]

我以前接触过一个反代我网站的站点。
就首页的请求是走的代理，其他资源都是直接通过我的域名加载。
那么我就开了防盗链，防盗链返回一个 js，js 里面判断访问时输入的域名，如果该域名不在允许的列表里，就 301 跳回我的主站，挺有用的。

[winglight2016]

上 https 似乎可以防止，不过我不确定了

[xencdn]

部份文字转图片 加自已的水印

[qqpkat2]

楼上说获取代理 IP 的估计都没做过反爬
高匿代理了解一下，拨号 vps 再了解一下，还有程序内嵌浏览器了解一下

[Loyalsoldier]

@qqpkat2 #13

请问怎么做高匿名代理呢？

[qqpkat2]

@Loyalsoldier 这个。。就不告诉你

[Loyalsoldier]

@winglight2016 #11

HTTPS 怎么防止？……

[Loyalsoldier]

@qqpkat2 #15

找到了篇文章，你说的高匿代理应该就是文章里面说的高匿代理的表现吧？通过随机选取一个代理 IP 来控制 remote_addr

https://blog.mimvp.com/article/18470.html

[qqpkat2]

@Loyalsoldier 尽信书不如无书啊，小伙子，万一高匿代理不加代理头呢？