本文介绍在 apache 2.4+ 环境下，使用 `mod_rewrite` 基于 http referer 头实现对特定 html 页面（如 `/dashboard/index.html`）的来源白名单控制，并强调其局限性与安全注意事项。
在 Web 安全实践中，有时需要限制某个静态 HTML 页面仅能从特定页面跳转访问（例如：仪表盘页 /dashboard/index.html 仅允许从登录页 /auth/sign-in.html 进入）。虽然这不是真正的身份认证机制，但在某些轻量级场景中可作为辅助访问控制手段。Apache 2.4.56 及以上版本支持通过 .htaccess 文件中的 mod_rewrite 模块实现该逻辑。
✅ 正确配置示例
将以下规则置于网站根目录的 .htaccess 文件最顶部（确保早于其他重写规则生效）：
RewriteEngine On
RewriteCond %{HTTP_REFERER} !=http://example.com/auth/sign-in.html
RewriteRule ^dashboard/index\.html$ - [F]说明：
- RewriteCond 检查 Referer 请求头是否严格不等于指定 URL（注意协议、域名、路径、尾部斜杠均需完全匹配）；
- RewriteRule 匹配请求路径为 dashboard/index.html（不包含域名），匹配成功且条件成立时，返回 403 Forbidden；
- - 表示不重写 URI，仅应用标志；[F] 是 [Forbidden] 的简写。
? 提示：若站点已启用 HTTPS，务必同步更新 Referer 中的协议为 https://，否则匹配将失败。推荐统一强制 HTTPS 后再配置此规则。
⚠️ 关键注意事项与常见陷阱
- Referer 不可靠：浏览器可主动屏蔽 Referer（如隐私模式、Referrer-Policy: no-referrer）、第三方插件或中间代理也可能移除该头。这意味着合法用户可能被误拒；
- Referer 可伪造：攻击者可手动构造含任意 Referer 头的请求，绕过该限制——它不能替代服务端会话校验或 Token 验证；
-
路径歧义需明确：确认 /dashboard/index.html 是否仅通过完整路径访问。若 /dashboard/ 也能触发 index.html（目录索引），则需额外匹配：
RewriteCond %{HTTP_REFERER} !=http://example.com/auth/sign-in.html RewriteRule ^(dashboard/|dashboard/index\.html)$ - [F] -
主机名标准化缺失风险：若站点同时响应 example.com 和 www.example.com，而 Referer 来自后者，则当前规则不匹配。建议前置 canonicalization（如 301 重定向统一主域），或扩展条件：
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?example\.com/auth/sign-in\.html$
✅ 最佳实践建议
- 永远不要单独依赖 Referer 控制敏感资源；应配合 Session/Token 验证（如检查 PHPSESSID 或 JWT）；
- 在生产环境启用前，使用 curl -H "Referer: http://example.com/auth/sign-in.html" http://example.com/dashboard/index.html 和非法 Referer 对比测试；
- 记录被拦截请求（可添加 [E=BLOCKED_BY_REFERER:1] 并配合 CustomLog）便于审计；
- 考虑前端路由或 SPA 场景下 Referer 可能为空（如 location.replace() 或 fetch() 导航），此时规则将默认拦截——需评估 UX 影响。
总之，Referer 限制是一种简单、低开销的客户端行为引导策略，适用于非关键页面的粗粒度访问提示，但绝不可视为安全边界。真正的访问控制必须落地于服务端身份与权限校验层。
立即学习“前端免费学习笔记（深入）”；
