这是一个创建于 1305 天前的主题，其中的信息可能已经有所发展或是发生改变。
事情是这样的
现在公司 app 使用的是七牛云 oss 对象存储 （公共 bucket ）
然后源地址被盗刷。每天多跑 1T 下载流量。
所以想问下大家，有什么思路。
通过七牛日志是可以排查到一些 IP
但是手动添加 IP 也不高效。
所以请问下有什么解决方案
 |
1
hahastudio 2021-06-02 14:35:37 +08:00
反向代理？反正不能在 app 里暴露你们真实的源地址
|
 |
2
awanganddong OP 现在没有走 cdn, 直接访问的就是图片源地址
|
 |
3
jack778 2021-06-02 14:45:46 +08:00
加签名呀，只能在 5 分钟内下载，过期失效
|
 |
4
eason1874 2021-06-02 15:38:11 +08:00
如果是恶意刷你的，对象存储和 CDN 几乎防不了。因为就算开启鉴权链接，你也不能限制访问次数，一个 5 分钟有效链接，只用一个 IP 都可以刷几千次了，每次请求只要到了服务商那里就给你算流量。
用鉴权链接可以解决一些傻缺爬虫乱爬，要解决人为恶意刷流量，只能用自己的服务器去反代，然后在自己服务器限制。 你们一天才多 1T 流量，流量不大，可能是爬虫而已，建议先给图片加上临时签名鉴权试试。 |
|
5
awanganddong OP 是我们 bucket 是公用的，然后有黑产恶意注入文件
|
 |
6
Mitt 2021-06-02 22:41:01 +08:00
@awanganddong #5 注入文件那就是上传出了问题了，可以先签名一个临时文件随机位置并设置到期时间，业务验证通过以后再把临时文件移到正式的位置取消到期时间
|
|
7
awanganddong OP 现在对七牛接口异或加密，然后用户必须登陆后才可以获取该接口，到期时间也设置了。
|
Select Language