ASP.NET 結合 HttpHandler 實現圖片防盜連

實作 `IHttpHandler` 攔截 `.jpg` 請求，檢查 `Request.UrlReferrer.Host` 是否為允許域名，非法請求回傳預設圖片 (`no.jpg`)，合法請求輸出原圖。在 `web.config` 註冊 `` 映射 `*.jpg`。

Handler 完整程式碼

using System.Web;

public class JpgHandler : IHttpHandler {
    public bool IsReusable => true;

    public void ProcessRequest(HttpContext context) {
        string physicalPath = context.Server.MapPath(context.Request.FilePath);
        string referrerHost = context.Request.UrlReferrer?.Host?.ToLower();

        // 無 Referrer 或非本域 → 回傳預設圖
        if (string.IsNullOrEmpty(referrerHost) || !referrerHost.Contains("mydomain.com")) {
            context.Response.ContentType = "image/jpeg";
            context.Response.WriteFile(context.Server.MapPath("~/no.jpg"));
            return;
        }

        // 合法請求：輸出原圖
        context.Response.ContentType = "image/jpeg";
        context.Response.WriteFile(physicalPath);
    }
}

web.config 註冊

<configuration>
  <system.web>
    <httpHandlers>
      <add verb="*" path="*.jpg" type="JpgHandler, MyAssembly" />
    </httpHandlers>
  </system.web>
  <system.webServer>
    <handlers>
      <add name="JpgAntiLeech" verb="*" path="*.jpg" 
           type="JpgHandler, MyAssembly" preCondition="integratedMode" />
    </handlers>
  </system.webServer>
</configuration>

關鍵細節與增強

• Referrer 可偽造：此法僅阻擋一般熱連，無法防技術型盜連。生產環境建議結合簽名 URL (帶時間戳+HMAC) 或Token 驗證。
• 靜態檔案處理：IIS 7+ 整合模式下，`*.jpg` 預設由 `StaticFileModule` 處理，需確保 Handler 排序優先或設 `runAllManagedModulesForAllRequests="true"`。
• 快取頭：輸出圖片時加上 `context.Response.Cache.SetCacheability(HttpCacheability.Public); context.Response.Cache.SetMaxAge(TimeSpan.FromDays(30));` 利用瀏覽器快取減少頻寬。
• 支援多副檔名：`path="*.jpg,*.png,*.gif"` 或分別註冊多行。
• 排除特定目錄：在 Handler 內判斷 `context.Request.Path.StartsWith("/public/")` 直接放行。

替代方案比較