网站图片防采集有哪些实用方法？

结论：网站图片防采集没有100%有效的银弹，但把防盗链、动态水印、前端混淆、频率限制和CDN规则组合起来，能拦住90%以上的普通采集脚本和批量下载工具。

图片防采集的核心思路是什么？

核心思路是提高采集成本，而不是追求绝对不可下载。图片只要在浏览器里显示，就一定会被用户端拿到，所以防采集的目标是让脚本无法批量、低成本、高质量地获取原图。具体分三层：第一层是前端干扰，让右键另存、拖拽、直接访问图片URL变得麻烦；第二层是服务端校验，通过Referer、Token、频率限制拦截非正常请求；第三层是内容保护，用动态水印、图片切片、低质量预览图降低盗用价值。三层叠加后，普通采集器要么拿不到图，要么拿到的是带水印的废图。

前端有哪些低成本防采集手段？

前端手段不能阻止技术用户，但能过滤掉大部分“右键另存为”级别的采集。具体做法有：用CSS的background-image替代<img>标签，让图片URL不直接出现在HTML里；禁用右键菜单和拖拽，代码是document.oncontextmenu = () => false和ondragstart = () => false；把图片转成Base64内嵌到CSS或JS中，增加提取难度；用Canvas绘制图片，采集器拿到的是画布像素而不是原始URL。注意：这些方法对懂开发者工具的人无效，只能作为第一道门槛。

服务端如何用防盗链和频率限制拦截？

服务端拦截才是真正有效的手段，核心是校验请求来源和请求频率。以Nginx为例，防盗链配置如下：

location ~* \.(jpg|png|gif|webp)$ {
    valid_referers none blocked server_names *.yourdomain.com;
    if ($invalid_referer) { return 403; }
}

这段配置会让非本站域名引用的图片请求返回403。但要注意，Referer可以被伪造，所以还要加频率限制：用limit_req_zone $binary_remote_addr zone=img:10m rate=5r/s;，再在location里加limit_req zone=img burst=10 nodelay;，这样单个IP每秒最多请求5张图，超出直接拒绝。另外可以给图片URL加一次性Token，比如?token=md5(时间戳+密钥)，服务端校验时间戳在60秒内有效，过期返回403。这套组合能拦住绝大多数批量下载脚本。

水印和图片指纹怎么配合使用？

水印是让采集到的图片失去直接商用价值，图片指纹是用于事后追责。动态水印建议用PHP或Node.js在服务端生成，把用户ID、时间戳以30%透明度的文字斜向铺满图片，位置随机偏移±20像素，这样每张图水印位置不同，采集器无法用固定模板裁剪。图片指纹则是对原图计算MD5或pHash，存入数据库。发现盗图后，用pHash比对相似度，相似度超过90%即可判定为盗用。具体参数：pHash的汉明距离小于10视为相似，MD5则要求完全一致。动态水印会略微增加服务器CPU开销，单张图处理时间约50-80毫秒，建议用队列异步处理。

图片防采集有哪些常见误区？

误区一：以为禁用右键就安全了。实际用curl或Postman直接请求图片URL，右键禁用毫无作用。误区二：只做前端切片，比如把图片切成4x4网格再用CSS拼合。采集器只要按顺序下载16张切片再拼接就能还原，正确做法是切片后每片加随机偏移和噪点。误区三：忽略CDN日志和告警。建议在CDN上配置规则：单个IP每分钟请求图片超过30次，自动封禁10分钟；同时开启图片URL的签名校验，签名有效期设为300秒。误区四：把原图直接放在公开目录，正确做法是原图存到非Web目录，通过PHP或Node.js脚本读取后输出，输出前校验Referer和Token。

总结：防采集的关键是组合拳——Nginx防盗链挡住外链，频率限制挡住批量请求，动态水印降低盗用价值，Token校验防止URL被复制。先做服务端校验，再叠加前端干扰和CDN规则，最后用水印和指纹兜底。没有一步能单独解决问题，但五步做完，普通采集器基本就放弃了。