云服务器的CDN域名的远程鉴权配置，基于 Python

深藏阁楼爱情的钟 2023-09-30 05:09 14阅读 0赞

### 实战场景 ###

在项目实战中，会碰到一种特定的运维场景，对CDN访问进行限制，一般手段是开启 referer 防盗链，开启 IP黑白名单，开启UA黑白名单，本篇博客为大家展示的是通过我们自己的服务器，然后实现远程鉴权，进行更加细致的权限判定。

![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_20_color_FFFFFF_t_70_g_se_x_16]

实现目标：

1.  请求CDN资源调用我们的鉴权服务器
2.  鉴权服务器获取请求信息，并保存到日志中
3.  分别返回鉴权成功，鉴权失败

### 开启远程鉴权 ###

在远程鉴权页面打开【开关】之后，出现如下配置界面，这里相关细节描述如下：

*  `鉴权服务器地址`：我们自己的服务器，地址可访问，可以是域名也可以是IP地址；
 *  `请求方法`：支持 GET，POST，HEAD 三种请求；
 *  `鉴权文件类型`：多个文件类型用 `|` 分隔，例如 `mp4|flv`；
 *  `保留参数设置`：控制用户请求 URL 中需要鉴权的参数，用 `|` 分隔；
 *  `自定义参数`：可以自定义参数，可以使用CDN控制台预设的变量，多个参数用 `|` 分隔，例如 `token=$arg_token|vendor=ali_cdn`；
 *  `保留请求头设置`：控制用户请求头中需要鉴权的参数，可以保留所有参数，也可以保留指定参数；
 *  `添加自定义参数`：给请求头添加自定义参数；
 *  `鉴权状态码`：成功200，失败 403；
 *  `鉴权超时时长`：单位为毫秒，最长时长可以设置为3000；

![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_20_color_FFFFFF_t_70_g_se_x_16 1]

参考上述说明配置完毕，得到如下界面，本案例中仅限制了 `m3u8` 类型的文件，后续我们根据实际情况进行修改。

![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_18_color_FFFFFF_t_70_g_se_x_16]

开启该配置之后，再次访问静态资源，就会出现 403 Forbidden

![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_20_color_FFFFFF_t_70_g_se_x_16 2]

这里需要注意，由于测试的是 m3u8 文件，所以访问该文件的时候，如果没有被禁止，会自动下载。

### Python 端权限验证 ###

以下代码基于 Flask 编写，主要将POST请求数据和Header请求头保存到文件中。  
日志文件，我们使用 logging 模块写入到 `new.log` 文件中。

# 导入Flask类
    from flask import Flask
    from flask import request
    from flask import render_template
    import logging
    import requests
    import time
    import random
    import base64
    
    logging.basicConfig(level=logging.DEBUG,
                        filename='./new.log',
                        filemode='a',
                        format='%(asctime)s - %(pathname)s[line:%(lineno)d] - %(levelname)s: %(message)s')
    # 实例化，可视为固定格式
    app = Flask(__name__)
    
    @app.route('/auth', methods=['GET', 'POST','HEAD'])
    def auth():
        if request.method == 'GET':
            args = request.args
    
            return "hello"
        if request.method == 'HEAD':
            print("HEAD请求")
            arges = request.form
            print("参数")
            logging.info(arges)
            print(request)
            print("请求头")
            headers = request.headers
            print(headers)
            
            
            logging.info(headers)
            print("请求数据")
            logging.info(request.data)
            return "login success", 200 # 403
            
            
        if request.method == "POST":
            print("POST请求")
            arges = request.form
            print(request)
            headers = request.headers
            print("参数")
            logging.info(arges)
            print("请求头")
            logging.info(headers)
            print("请求数据")
            logging.info(request.data)
            return "login success", 200 # 403
    
    if __name__ == '__main__':
        # app.run(host, port, debug, options)
        # 默认值：host="127.0.0.1", port=5000, debug=False
        app.run(host="0.0.0.0", port=5000)

此时，当你再次访问CDN资源时，会自动回调你的服务器进行鉴权操作，上述代码请求成功之后，返回状态码为 200，接下来CDN资源可以访问，如果返回403，表示被禁用。

![在这里插入图片描述][watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_17_color_FFFFFF_t_70_g_se_x_16]

### 验证逻辑 ###

服务端验证可以基于 referer + ua + ip 进行验证，为了保证效率，可以使用 redis 缓存数据库进行配置。

### 记录时间 ###

> 2022年度 Flag，写作的 586 / 1024 篇。  
> 可以关注我，点赞我、评论我、收藏我啦。

**更多精彩**

*  [Python 爬虫 100 例教程导航帖（连续 3 年，不断更！）][Python _ 100 _ 3]
 *  [Python爬虫120 （39.9 元，保 5 年更新）][Python_120 _39.9 _ 5]

[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_20_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/df289accdd714889aa79cb784ddf9298.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5qKm5oOz5qmh55qu5pOm,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_20_color_FFFFFF_t_70_g_se_x_16 1]: https://img-blog.csdnimg.cn/9519692009c0417a92945dec36f8e026.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5qKm5oOz5qmh55qu5pOm,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_18_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/48ebd899d45648aa9065d2eebbf5f677.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5qKm5oOz5qmh55qu5pOm,size_18,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_20_color_FFFFFF_t_70_g_se_x_16 2]: https://img-blog.csdnimg.cn/6a14660e0ee6468298d7176ce8e5e800.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5qKm5oOz5qmh55qu5pOm,size_20,color_FFFFFF,t_70,g_se,x_16
[watermark_type_d3F5LXplbmhlaQ_shadow_50_text_Q1NETiBA5qKm5oOz5qmh55qu5pOm_size_17_color_FFFFFF_t_70_g_se_x_16]: https://img-blog.csdnimg.cn/1fa5f266d8194d44bf886b2b5aa4764a.png?x-oss-process=image/watermark,type_d3F5LXplbmhlaQ,shadow_50,text_Q1NETiBA5qKm5oOz5qmh55qu5pOm,size_17,color_FFFFFF,t_70,g_se,x_16
[Python _ 100 _ 3]: https://blog.csdn.net/hihell/category_9280209.html
[Python_120 _39.9 _ 5]: https://blog.csdn.net/hihell/category_11079529.html