[小记录]如何防止别人反向代理自己的网站？
反向代理（Reverse Proxy）是一种服务器架构模式，它代表后端服务器接收客户端请求，然后将请求转发给内部服务器，并将内部服务器的响应返回给客户端。与正向代理（为客户端服务）不同，反向代理是为服务器端服务的。
反向代理的危害及影响
一、核心安全风险
1.内容窃取与篡改
数据泄露：代理者可获取所有用户提交的敏感信息（登录凭证、支付信息等）
内容劫持：修改返回内容插入恶意代码或广告
钓鱼攻击：克隆网站诱导用户输入敏感信息
2.业务逻辑破坏
API滥用：绕过频率限制攻击后端接口
订单劫持：截获电商网站的交易请求
验证绕过：规避反爬虫和安全验证机制
二、运营与法律风险
1.品牌与信誉损害
品牌侵权：冒用官方域名/品牌标识进行诈骗
用户混淆：用户无法区分真假网站
SEO污染：搜索引擎收录代理站导致流量分流
2.法律合规问题
数据合规违约：违反GDPR等数据保护法规
版权侵权：非法传播受版权保护内容
连带责任：代理站违法内容导致主站被牵连
三、技术层面危害
1.性能与稳定性影响
资源耗尽：恶意镜像消耗服务器带宽和计算资源
缓存污染：代理缓存过期或错误内容
服务降级：中间层增加网络延迟
2.监控失效
流量统计失真：真实访问数据被分流
安全日志缺失：攻击流量无法被原始服务器记录
业务分析偏差：用户行为数据被污染
四、典型攻击案例
1.金融欺诈：
代理银行网站窃取账户凭证
修改交易收款账户信息
2.数据劫持：
窃取企业API返回的商业数据
抓取用户UGC内容用于其他平台
如何防止被反向代理？
我以linux服务器演示：下面跟我一起操作！
创建文件 .htaccess
在网站的根目录创建.htaccess文件，随后打开创建的.htaccess文件，粘贴以下内容：
RewriteEngine On
RewriteBase /
php_value auto_append_file proxy.php复制粘贴后保存文件。
创建proxy.php文件
也是在根目录下面创建文件，名字是：proxy.php，内容是:
<?php
// 获取代理相关头信息
$forwardedFor = getenv("HTTP_X_FORWARDED_FOR");
$via = getenv("HTTP_VIA");
// 检测是否通过代理访问
if (!empty($forwardedFor) || !empty($via)) {
// 记录日志或发送通知
file_put_contents('proxy_access.log', date('Y-m-d H:i:s')." - Proxy detected: ".$_SERVER['REMOTE_ADDR']."\n", FILE_APPEND);
// 返回403禁止访问
header("HTTP/1.1 403 Forbidden");
exit("Direct access required. Proxy access not allowed.");
}
// 正常业务逻辑继续执行
?>复制粘贴并保存即可。
检查是否成功运行
用curl命令检测一下：win+r打开命令输入框，输入cmd并回车，输入以下命令：
curl -v ^
-H "X-Forwarded-For: 1.2.3.4" ^
-H "X-Forwarded-Host: original-site.com" ^
-H "X-Forwarded-Proto: https" ^
-H "Forwarded: for=1.2.3.4;host=original-site.com;proto=https" ^
-H "Via: 1.1 fake-proxy" ^
-H "Host: baidu.com" ^
http://www.nmssb.cn命令改的地方有：Host：baidu.com和http://www.nmssb.cn，当然baidu.com可以不用改，直接把我的域名改为你的域名即可！改好之后回车就能看到输出的内容了。
输出的内容
curl -v ^
More?
More? -H "X-Forwarded-For: 1.2.3.4" ^
More?
More? -H "X-Forwarded-Host: original-site.com" ^
More?
More? -H "X-Forwarded-Proto: https" ^
More?
More? -H "Forwarded: for=1.2.3.4;host=original-site.com;proto=https" ^
More?
More? -H "Via: 1.1 fake-proxy" ^
More?
More? -H "Host: baidu.com" ^
More?
More? http://www.nmssb.cn
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* URL rejected: Malformed input to a URL function
* closing connection #-1
curl: (3) URL rejected: Malformed input to a URL function
* Host www.nmssb.cn:80 was resolved.
* IPv6: 2409:8c60:1200:8::32, 2409:8c60:1200:8::2d
* IPv4: 117.187.40.216, 36.147.93.58, 117.187.40.217, 36.147.93.59, 117.187.40.215
* Trying [2409:8c60:1200:8::32]:80...
* Connected to www.nmssb.cn (2409:8c60:1200:8::32) port 80
* using HTTP/1.x
> GET / HTTP/1.1
> Host: baidu.com
> User-Agent: curl/8.13.0
> Accept: */*
> X-Forwarded-For: 1.2.3.4
> X-Forwarded-Host: original-site.com
> X-Forwarded-Proto: https
> Forwarded: for=1.2.3.4;host=original-site.com;proto=https
> Via: 1.1 fake-proxy
>
* Request completely sent off
< HTTP/1.1 403 Forbidden
< Date: Sat, 26 Jul 2025 11:16:42 GMT
< Content-Type: text/html
< Content-Length: 207
< Connection: keep-alive
< Server: web cache
< Expires: Sat, 26 Jul 2025 11:16:42 GMT
< X-Ser: i2017367_c24365
<
<html><head><title>ERROR: ACCESS DENIED</title></head><body><center><h1>ERROR: ACCESS DENIED</h1></center><hr>
<center>Sat, 26 Jul 2025 11:16:42 GMT i2017367_c24365</center></BODY></HTML>
<!-- web cache -->
* Connection #0 to host www.nmssb.cn left intact看到403响应头就说明可以了。
写在最后
网站管理员应建立多层防御体系，结合技术手段和法律途径，定期审计防护效果，及时更新防护策略应对新型代理技术。
评论