网站设计基本结构,wordpress添加弹窗,上海建设工程检测行业协会,教人做饮料的网站文章目录 花费OSSCDNOSS CDN 安全OSS防盗链跨域设置CORS数据加密 CDN防盗链URL鉴权Cookie鉴权远程鉴权IP黑白名单UA黑白名单 回源服务自定义私有参数IP黑白名单数据加密 花费
OSS
存储费用 #xff1a;0.12元/GB/月下行流量费用 #xff1a;0.5元/GB请求费用 #xff1a;… 文章目录 花费OSSCDNOSS CDN 安全OSS防盗链跨域设置CORS数据加密 CDN防盗链URL鉴权Cookie鉴权远程鉴权IP黑白名单UA黑白名单 回源服务自定义私有参数IP黑白名单数据加密 花费
OSS
存储费用 0.12元/GB/月下行流量费用 0.5元/GB请求费用 0.01元/10000次
CDN
下行流量费用0.24元/GB梯度计费用的越多越便宜静态HTTPS请求数0.05元/万次
OSS CDN
CDN流出流量由CDN收取费用0.24元/GBCDN回源流出流量由OSS收取费用0.15元/GB请求费用由OSS收取费用0.01元/万次
安全
OSS
防盗链
防盗链通过设置Referer列表包括白名单Referer和黑名单Referer以及是否允许空Referer的方式限制您Bucket内资源的访问来源避免Bucket内的资源被其他人盗用。
开启防盗链后OSS会根据请求Header中的Referer地址判断访问来源的方式确定是否允许当前请求。具体流程如下图所示。 判断请求Referer是否为空。 如果请求Referer为空则查看是否允许空Referer。 如果允许空Referer则请求被允许。如果不允许空Referer且白名单Referer列表为空则请求被允许。如果不允许空Referer且白名单Referer列表不为空则请求被拒绝。 如果请求Referer不为空则执行步骤2。 判断黑名单Referer列表是否为空。 如果黑名单Referer列表为空且白名单Referer列表为空则请求被允许。如果黑名单Referer列表为空且白名单Referer列表不为空则跳过步骤3执行步骤4。如果黑名单Referer列表不为空则执行步骤3。 遍历黑名单Referer列表。 如果黑名单Referer列表存在匹配条目则请求被拒绝。如果黑名单Referer列表不存在匹配条目则执行步骤4。 遍历白名单Referer列表。 如果白名单Referer列表存在匹配条目则请求被允许。如果白名单Referer列表不存在匹配条目则请求被拒绝。
跨域设置CORS
同源检测 跨域访问是浏览器出于安全考虑而设置的一个限制即同源策略是用于隔离潜在恶意文件的关键安全机制。当A、B两个网站属于不同域时来自于A网站页面中的JavaScript代码访问B网站时浏览器会拒绝该访问。
同协议、同域名或IP以及同端口视为同域。两个页面的协议、域名和端口如果指定了端口相同则视为同源。下表给出了相对http://www.aliyun.com/org/test.html的同源检测示例
URL访问是否成功原因http://www.aliyun.com/org/other.html是协议、域名、端口相同http://www.aliyun.com/org/internal/page.html是协议、域名、端口相同https://www.aliyun.com/page.html否协议不同HTTPShttp://www.aliyun.com:22/dir/page.html否端口不同22http://help.aliyun.com/dir/other.html否域名不同
从上表中可以看出协议、域名或者端口不同的情况下浏览器会拒绝该来源的访问。如果要允许这些来源的访问需要设置跨域规则。
数据加密
CDN
防盗链
配置访问请求来源的域名即Referer黑名单和白名单实现对访客身份的识别和过滤限制访问CDN资源的用户禁止其他网站引用您的资源链接。
URL鉴权
URL鉴权是指用户按照指定的签名方式对于特定的URL增加鉴权认证您可以通过自行配置校验鉴权URL中的加密串和时间戳保护用户站点的资源不被非法站点下载盗用。URL鉴权比Referer防盗链安全性更高适合于安全密级较高的文件。
源站应用服务器根据鉴权URL生成规则包括鉴权算法、密钥生成鉴权URL返回给客户端。客户端发起资源请求并发送鉴权URL给CDN节点进行验证。CDN节点对鉴权URL中的鉴权信息鉴权字符串、时间戳等进行验证。 示例 1.应用服务器生成如下的URL 原始URLhttp://aaa.example.com/video/test.flv 加鉴权后URLhttp://cdn.com/video/test.flv?Signaturehmac(timestamp,md5(filePath),key)Expiresxxxx Expires为将来的某个时间 filePath : /video/test.flv 2.CDN查看传入的timestamp看是否是超过30min。 3.CDN按相同的hmac校验是否篡改。 要把key和可支持的过期时间在CDN提前配置好。 Cookie鉴权
签名 Cookie 提供有限的权限和时间用于向一组文件发出请求。
下列情况下可以使用签名 Cookie
您需要提供对多个受限文件的访问权限。您不想更改当前网址。您不希望在每次刷新授权时要更新网址后才能访问内容。 要是客户禁用cookie或不支持cookie的设备就拉了 配置和发布签名 Cookie 的过程分为三个步骤
源站应用服务器给指定Domain生成鉴权Cookie返回给客户端。 Cookie 值: 网址前缀、过期时间、键名称和加密签名 客户端发起资源请求并发送URL给CDN节点进行验证。CDN节点对鉴权Cookie中的鉴权信息鉴权字符串、时间戳等进行验证。
示例Cookie:
// 一体
Set-Cookie: Cloud-CDN-CookieURLPrefixaHR0cHM6Ly9tZWRpYS5leGFtcGxlLmNvbS92aWRlb3Mv:Expires1566268009:KeyNamemySigningKey:Signature0W2xlMlQykL2TG59UZnnHzkxoaw; Domainmedia.example.com; Path/; ExpiresTue, 20 Aug 2019 02:26:49 GMT; Secure; HttpOnly
// 分开
Set-Cookie:
CloudFront-Expiresdate and time in Unix time format (in seconds) and Coordinated Universal Time (UTC);
Domainoptional domain name;
Path/optional directory path;
Secure;
HttpOnlySet-Cookie:
CloudFront-Signaturehashed and signed version of the policy statement;
Domainoptional domain name;
Path/optional directory path;
Secure;
HttpOnlySet-Cookie:
CloudFront-Key-Pair-Idpublic key ID for the CloudFront public key whose corresponding private key youre using to generate the signature;
Domainoptional domain name;
Path/optional directory path;
Secure;
HttpOnlyCookie 中的 Domain 和 Path 属性决定了客户端是否将 Cookie 发送到 Cloud CDN。 明确设置 Domain 和 Path 属性以匹配您希望从中传送受保护内容的网域和路径前缀这可能与签发 Cookie 的网域和路径不同分别是 example.com 与 media.example.com或者分别是 /browse 与 /videos。 对于同一个 Domain 和 Path请确保您只有一个具有指定名称的 Cookie。 请确保您未签发有冲突的 Cookie否则可能导致无法在其他浏览器会话窗口或标签页中访问内容。 在适用的情况下设置 Secure 和 HttpOnly 标志。 Secure 可确保仅通过 HTTPS 连接发送 Cookie。HttpOnly 会禁止 JavaScript 使用 Cookie。 Cookie 特性 Expires 和 Max-Age 是可选的。如果您省略这些特性则 Cookie 会在浏览器会话标签页或窗口存在期间保持存在。 注意此处提及的 Expires 属性是出现在 Cookie 值之外的属性如果有。请勿将此属性与 Cookie 值中必需的 Expires 参数混淆。Cookie 值中包含的 Expires 参数指定 Cloud CDN 允许用户访问受保护内容的时间限制。此时间限制与 Cookie 的有效期无关。 在缓存填充或缓存未命中时签名 Cookie 会传递到后端服务中定义的源站。请确保首先验证每个请求的签名 Cookie 值之后再传送内容。 Set-Cookie: ; Domain; Secure; HttpOnly
Expires 设置 cookie 的过期时间时间戳这个时间是客户端时间。Max-Age 设置 cookie 的保留时长秒数同时存在 Expires 和 Max-Age 的话Max-Age 优先Domain 设置生效的域名默认就是当前域名不包含子域名Path 设置生效路径/ 全匹配Secure 设置 cookie 只在 https 下发送防止中间人攻击HttpOnly 设置禁止 JavaScript 访问 cookie防止XSSSameSite 设置跨域时不携带 cookie防止CSRF
远程鉴权
远程鉴权和URL鉴权的作用一样都用于保护资源让资源只被授权成功的用户访问非授权用户将无法访问。差异点在于URL鉴权是由CDN节点完成鉴权远程鉴权是用户有自己单独的鉴权服务器由用户自主管理。
IP黑白名单
可以通过配置访问请求来源的IP地址即IP黑名单和白名单来实现对访客身份的识别和过滤限制访问CDN资源的用户防止恶意IP盗刷、攻击等问题。
UA黑白名单
User-Agent是访问请求客户端的标识当您想指定访问的客户端时可以通过配置User-Agent黑名单和白名单来实现对访客身份的识别和过滤保证用户只从您允许的客户端访问。
回源服务
验证自己提供给CDN的授权URL但是无法防止恶意用户直接访问你的回源服务。
自定义私有参数
在云厂商的请求中添加自定义key在请求参数或者Header中。
IP黑白名单
只允许云厂商的IP访问即可。
数据加密
1.回源服务返回为的文件时加密的携带个keypairId参数
2.登录的用户才返回给他这个keypairid对应的key用于解密
