thinkphp防止API盗用和实现访问统计

方案一：Referer 检查 + 访问日志#

这是最简单的实现方式，适合您的场景：

PHP

1
<?php
2

3
namespace app\middleware;
4

5
use think\facade\Log;
6

7
class ApiProtectionMiddleware
8
{
9
    // 允许访问的域名列表
10
    protected $allowedDomains = [
11
        'yn65.com',
12
        'www.yn65.com',
13
    ];
14

15
    public function handle($request, \Closure $next)
16
    {
17
        // 获取Referer头
18
        $referer = $request->header('referer');
19

20
        // 记录访问日志 - 无论是否允许访问都记录
21
        $this->logAccess($request, $referer);
22

23
        // 如果没有Referer，可能是直接访问或者某些浏览器/工具不发送Referer
24
        if (empty($referer)) {
25
            // 您可以决定是否允许无Referer的请求
26
            // return response('Unauthorized', 403);
27
            return $next($request); // 允许无Referer的请求
28
        }
29

30
        // 检查Referer是否来自允许的域名
31
        $isAllowed = false;
32
        foreach ($this->allowedDomains as $domain) {
33
            if (strpos($referer, $domain) !== false) {
34
                $isAllowed = true;
35
                break;
36
            }
37
        }
38

39
        // 如果不在允许列表中
40
        if (!$isAllowed) {
41
            return response('Unauthorized', 403);
42
        }
43

44
        return $next($request);
45
    }
46

47
    /**
48
     * 记录访问日志
49
     */
50
    protected function logAccess($request, $referer)
51
    {
52
        $logData = [
53
            'time' => date('Y-m-d H:i:s'),
54
            'ip' => $request->ip(),
55
            'url' => $request->url(true),
56
            'referer' => $referer ?: 'none',
57
            'user_agent' => $request->header('user-agent') ?: 'none'
58
        ];
59

60
        // 使用ThinkPHP的日志系统记录
61
        Log::write(json_encode($logData), 'api_access');
62

63
        // 可选：将访问记录保存到数据库
64
        // \app\model\ApiAccessLog::create($logData);
65
    }
66
}

方案二：API密钥 + 域名绑定#

更安全的方法是使用API密钥：

PHP

1
<?php
2

3
namespace app\middleware;
4

5
use think\facade\Log;
6

7
class ApiKeyMiddleware
8
{
9
    public function handle($request, \Closure $next)
10
    {
11
        // 获取API密钥 - 可以通过查询参数或请求头
12
        $apiKey = $request->param('api_key') ?: $request->header('X-API-Key');
13

14
        // 获取Referer
15
        $referer = $request->header('referer');
16

17
        // 记录访问
18
        $this->logAccess($request, $referer, $apiKey);
19

20
        // 如果没有API密钥
21
        if (empty($apiKey)) {
22
            return response('API key required', 403);
23
        }
24

25
        // 验证API密钥并检查它是否与允许的域名绑定
26
        $keyInfo = $this->validateApiKey($apiKey);
27
        if (!$keyInfo) {
28
            return response('Invalid API key', 403);
29
        }
30

31
        // 如果有Referer，检查它是否与API密钥绑定的域名匹配
32
        if (!empty($referer) && !empty($keyInfo['domain'])) {
33
            if (strpos($referer, $keyInfo['domain']) === false) {
34
                return response('Unauthorized domain for this API key', 403);
35
            }
36
        }
37

38
        return $next($request);
39
    }
40

41
    /**
42
     * 验证API密钥
43
     * 实际应用中，这应该从数据库查询
44
     */
45
    protected function validateApiKey($apiKey)
46
    {
47
        // 示例API密钥映射表 - 实际应用中应该从数据库获取
48
        $apiKeys = [
49
            'key_for_yn65' => [
50
                'domain' => 'yn65.com',
51
                'rate_limit' => 1000, // 每日请求限制
52
                'owner' => 'YN65网站'
53
            ],
54
            'key_for_8yun' => [
55
                'domain' => 'yn65.com',
56
                'rate_limit' => 1000,
57
                'owner' => 'yn65网站'
58
            ]
59
        ];
60

61
        return isset($apiKeys[$apiKey]) ? $apiKeys[$apiKey] : false;
62
    }
63

64
    /**
65
     * 记录访问日志
66
     */
67
    protected function logAccess($request, $referer, $apiKey)
68
    {
69
        $logData = [
70
            'time' => date('Y-m-d H:i:s'),
71
            'ip' => $request->ip(),
72
            'url' => $request->url(true),
73
            'referer' => $referer ?: 'none',
74
            'api_key' => $apiKey ?: 'none',
75
            'user_agent' => $request->header('user-agent') ?: 'none'
76
        ];
77

78
        // 使用ThinkPHP的日志系统记录
79
        Log::write(json_encode($logData), 'api_access');
80

81
        // 可选：将访问记录保存到数据库
82
        // \app\model\ApiAccessLog::create($logData);
83
    }
84
}

方案三：结合统计面板的完整解决方案#

创建一个数据库表来存储API访问日志
创建一个统计面板来查看访问数据
实现API密钥管理功能

数据库表结构示例#

SQL

1
CREATE TABLE `api_access_log` (
2
  `id` int(11) NOT NULL AUTO_INCREMENT,
3
  `api_key` varchar(64) DEFAULT NULL,
4
  `ip` varchar(45) NOT NULL,
5
  `url` varchar(255) NOT NULL,
6
  `referer` varchar(255) DEFAULT NULL,
7
  `user_agent` varchar(255) DEFAULT NULL,
8
  `created_at` datetime NOT NULL,
9
  PRIMARY KEY (`id`),
10
  KEY `idx_api_key` (`api_key`),
11
  KEY `idx_created_at` (`created_at`)
12
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;
13

14
CREATE TABLE `api_keys` (
15
  `id` int(11) NOT NULL AUTO_INCREMENT,
16
  `api_key` varchar(64) NOT NULL,
17
  `domain` varchar(255) NOT NULL,
18
  `owner` varchar(255) NOT NULL,
19
  `rate_limit` int(11) NOT NULL DEFAULT 1000,
20
  `is_active` tinyint(1) NOT NULL DEFAULT 1,
21
  `created_at` datetime NOT NULL,
22
  `updated_at` datetime NOT NULL,
23
  PRIMARY KEY (`id`),
24
  UNIQUE KEY `idx_api_key` (`api_key`)
25
) ENGINE=InnoDB DEFAULT CHARSET=utf8mb4;

中间件实现#

PHP

1
<?php
2

3
namespace app\middleware;
4

5
use app\model\ApiAccessLog;
6
use app\model\ApiKey;
7

8
class ApiAccessMiddleware
9
{
10
    public function handle($request, \Closure $next)
11
    {
12
        // 获取API密钥
13
        $apiKey = $request->param('api_key') ?: $request->header('X-API-Key');
14

15
        // 获取Referer
16
        $referer = $request->header('referer');
17

18
        // 记录访问
19
        $this->logAccess($request, $referer, $apiKey);
20

21
        // 如果您想要强制要求API密钥
22
        if (empty($apiKey)) {
23
            // 可以选择是否允许无密钥访问
24
            // return response('API key required', 403);
25
        } else {
26
            // 验证API密钥
27
            $keyInfo = ApiKey::where('api_key', $apiKey)
28
                            ->where('is_active', 1)
29
                            ->find();
30

31
            if (!$keyInfo) {
32
                return response('Invalid API key', 403);
33
            }
34

35
            // 检查域名绑定
36
            if (!empty($referer) && !empty($keyInfo['domain'])) {
37
                if (strpos($referer, $keyInfo['domain']) === false) {
38
                    return response('Unauthorized domain for this API key', 403);
39
                }
40
            }
41

42
            // 检查速率限制
43
            // ...这里可以添加速率限制逻辑
44
        }
45

46
        return $next($request);
47
    }
48

49
    /**
50
     * 记录访问日志
51
     */
52
    protected function logAccess($request, $referer, $apiKey)
53
    {
54
        ApiAccessLog::create([
55
            'api_key' => $apiKey ?: null,
56
            'ip' => $request->ip(),
57
            'url' => $request->url(true),
58
            'referer' => $referer ?: null,
59
            'user_agent' => $request->header('user-agent') ?: null,
60
            'created_at' => date('Y-m-d H:i:s')
61
        ]);
62
    }
63
}

前端使用示例#

对于您的静态网站，您可以这样使用API：

1
<!-- 使用Referer检查方式 -->
2
<div style="background: url(http://api.xxx.com/image)"></div>
3

4
<!-- 使用API密钥方式 -->
5
<div style="background: url(http://api.xxx.com/image?api_key=your_api_key)"></div>

建议的实施方案#

先实施方案一：这是最简单的，可以快速部署，并开始收集使用数据
分析访问数据：查看谁在使用您的API，以及使用模式
根据需要升级：如果发现未授权使用严重，可以升级到方案二或方案三

这种渐进式的方法让您可以根据实际情况调整保护级别，同时不会过度复杂化初始实现。