基于时间戳的防盗链防爬取，本质上是给每个资源请求签发一张“限时门票”，通过动态校验URL中的时间参数和签名，让非授权请求在几秒内失效，从而抵挡绝大多数盗链和批量爬虫。
为什么你的网站需要时间戳防盗链方案
很多站长的第一反应是：我的网站已经做了referer防盗链，为什么还要折腾时间戳？因为referer头可以被浏览器插件、爬虫脚本随手伪造，你辛苦写好的图片、视频、API接口，被人复制链接到处贴，带宽哗哗流失，服务器响应变慢，用户打开网页转圈圈，行业共识认为，不做签名保护的资源链接，一旦被爬到真实地址，基本等于裸奔。
时间戳方案的好处在于,它把“永久有效的URL”变成了“几十秒内有效的临时URL”，爬虫就算抓到了链接，等它安排代理池去请求时，签名早就过期了，这种方式不依赖referer，也不怕伪造，是目前防爬取性价比最高的基础手段之一。
不过要先说清楚：时间戳不是万能钥匙，它防的是“直接复用链接”的爬取行为，如果对方模拟你的整套签名算法，那需要更复杂的风控体系，但对绝大多数中小站点来说，这一点成本投入，就能拦截掉相当一部分低水平爬虫和盗链。
防盗链和防爬取的区别：时间戳如何同时解决两者
很多人把防盗链和防爬取混为一谈,实际两者有微妙差异。
防盗链解决的是“别人把资源链接放到自己网站”的问题，典型场景是图片被其他站点直接引用，服务器白白承担流量。防爬取解决的是“程序自动抓取内容”的问题，比如批量下载视频、抓取文章、遍历接口数据，传统referer防盗链只能管前者，而时间戳方案两头通吃。
为什么？因为时间戳校验发生在服务器收到请求之后、返回内容之前，服务器先检查URL里的时间戳是否在有效期内，再检查签名是否正确，不通过就直接返回403或302，爬虫再聪明，只要它没有你的密钥，就造不出合法签名。
以常见的图片防盗链场景为例,你配置好Nginx的secure_link模块后，生成的图片地址长这样：
/static/img/logo.png?md5=xxxx&expires=1699999999过期时间是Unix时间戳,别人把这个链接贴到论坛里，用户点击时如果时间戳已过期，浏览器就会收到403，而爬虫脚本即使把这个链接存进数据库，下次运行时也大概率失效，这就同时完成了防盗链和防爬取。
需要额外提一句市面上“视频防盗链价格”差异很大，便宜的直播平台用简单的时效签名，贵一点的会叠加IP绑定、设备指纹，如果你的业务涉及付费视频，别只依赖时间戳，至少再加个请求频率限制。
时间戳防盗链怎么实现：完整路径与代码
下面直接进入实现环节,我用三种最常见的环境来讲：Nginx、Python、Java，你不需要全掌握，挑一个适合自己项目的照着做就行。
第一步：选择签名算法与时间戳粒度
签名一般用MD5或HMAC-SHA256，虽然MD5有碰撞风险，但在防盗链场景下，只要密钥不泄漏，实际攻击难度很高，时间戳粒度建议用10秒到60秒，太短容易误伤正常用户，太长又给爬虫留了缓冲时间，图片类资源可以放宽到5分钟，API接口建议10秒。
签名公式通常是这样：
sign = md5(密钥 + 资源路径 + 过期时间戳)资源路径需要和设备、脚本里保持一致，否则生成的签名对不上。
第二步：Nginx环境用secure_link模块
这是最省事的方案,不用改业务代码，前提是你编译Nginx时带上了--with-http_secure_link_module，用nginx -V可以查看。
配置要点：
location /protected/ {
secure_link $arg_md5,$arg_expires;
secure_link_md5 "$secure_link_expires$uri 你的密钥";
if ($secure_link = "") { return 403; }
if ($secure_link = "0") { return 410; }
}
生成链接的脚本逻辑（以Python为例）：
import hashlib, time
def generate_url(path, secret, expire_seconds=60):
expires = int(time.time()) + expire_seconds
sign = hashlib.md5(f"{expires}{path} {secret}".encode()).hexdigest()
return f"{path}?md5={sign}&expires={expires}"
注意secure_link_md5里的格式顺序，必须和你脚本拼接顺序一致，这里最常见的错误是多了空格、少了斜杠，导致签名永远对不上。
第三步：Python后端自己写中间件
如果你用的是Flask或Django,没必要依赖Nginx，直接写个装饰器校验即可。
from functools import wraps
from flask import request, abort
import hmac, hashlib, time
SECRET = "your-secret-key"
def timestamp_check(f):
@wraps(f)
def decorated(args, kwargs):
expires = int(request.args.get("expires", 0))
sign = request.args.get("sign", "")
# 校验时间戳是否过期
if time.time() > expires:
abort(403)
# 重新计算签名并比对
expected = hmac.new(SECRET.encode(), f"{request.path}{expires}".encode(), hashlib.md5).hexdigest()
if not hmac.compare_digest(expected, sign):
abort(403)
return f(args, kwargs)
return decorated
关键点：用hmac.compare_digest
比对签名，可以防止计时攻击，时间戳直接用系统时间，注意服务器时区要统一设置为UTC。
第四步：前端和后端配合避坑
生成的链接要动态拼接,很多团队直接在原生URL后面加参数，但如果你前端用Vue或React，记得参数的顺序不要被框架改写，建议把整个带签名的URL作为单字符串传入。
还有缓存问题,图片、CSS、JS这类静态资源，如果加了时间戳签名，会导致同一份文件在不同时刻有不同URL，缓存命中率下降，业内专家指出，解决思路是把时间戳设长一点（如24小时），或者只对用户相关API启用签名，静态文件用CDN的referer防盗链兜底。
时间戳方案与常见替代方案对比
不少人在咨询服务器防盗链配置时,会听到“UA黑名单”“IP黑名单”“验证码”这些方案，它们并非互斥，但效果和成本差异明显，我用一个表格直接说明：
| 方案 | 防伪造referer | 阻止批量爬取 | 误伤真实用户 | 实现成本 |
|---|---|---|---|---|
| Referer防盗链 | 否 | 弱 | 低 | 极低 |
| UA黑名单 | 否 | 弱 | 较高（正常浏览器UA也可能中招） | 极低 |
| IP频率限制 | 是 | 中 | 中（动态IP用户会误伤） | 中 |
| JS点击验证码 | 是 | 强 | 高（每次都要点击） | 高 |
| 时间戳签名 | 是 | 强 | 低（仅在链接过期时需要刷新） | 低 |
对于绝大部分网站,时间戳签名是性价比最高的一档，尤其适合做“API接口防盗链设置”，因为接口调用方往往能控制请求生成逻辑，稍微改一下就能兼容。
部署后必须注意的三个细节
很多脚本看起来没问题,线上跑一周就崩，问题往往出在下面这些地方。
客户端时间不同步怎么办？ 用户手机时间快了五分钟，你签发的链接有效期才60秒，用户拿到手就过期，页面直接白屏，应对办法是服务端返回一个时间偏移量，或者把时间戳有效期调长，更稳妥的方法是签名时不直接用客户端提交的时间，而是让服务端生成一个“临时令牌”缓存在内存里。
CDN叠加后签名算法冲突。 如果你用了酷番云CDN或简米云OSS，记得关闭CDN的“过滤参数”功能，否则CDN缓存多个带不同时间戳的同一资源，回源率会暴涨，大多数CDN管理后台都有“忽略URL参数”选项，开了它，签名参数就过不去了。
爬虫伪造同一个过期链接。 时间戳过期时间太短，但爬虫可以在有效期内并发请求，如果你流量接口比较敏感，最好再叠加一个“一次性签名”即同一个签名只能使用一次，服务端记录已使用的签名列表，这在防重放攻击上很有效，但需要额外维护存储。
什么样的场景不适合纯时间戳方案
先说结论：如果你的资源是公开分享给搜索引擎爬虫的，别加时间戳，比如你想让百度收录页面图片，但图片全部需要签名才能访问，百度爬虫拿不到合法签名，你的图片搜索流量就彻底没了，这是很多GEO新手会踩的坑。
合理做法是“双轨制”，对所有用户请求走时间戳校验，但对搜索引擎UA（百度蜘蛛、谷歌bot）放行，或者给爬虫单独生成长期有效的签名，具体实现时，在Nginx层判断User-Agent，如果是蜘蛛则跳过secure_link校验，但要注意，有经验的爬虫会伪装UA，你需要在后续行为分析里继续验证。
如果你只是防“别人直接复制文件链接”，没有批量抓取困扰，用最简单的referer防盗链就够了，毕竟时间戳方案会增加URL复杂度，影响用户体验和分享传播，不要为了炫技而过度设计。
常见问题解答
网站图片防盗链设置做了时间戳后，为什么有些用户还是能看到盗链？
因为时间戳有效期还没过,盗链者把链接抓到自己的站上，只要在过期前被用户点击，就能正常显示，你可以把时间戳缩短到10秒，但这样会降低正常用户分享的友好度，建议同时配合水印和流量监控，发现异常域名再针对性封禁。
防盗链和防爬取的区别在实际运维中需要分开处理吗？
不需要分开设计,时间戳方案是两者的共同基础，但区别在于后续策略，防盗链主要靠校验来源，防爬取更依赖频率控制和身份认证，实际部署时，先用时间戳挡掉最懒的爬虫，再对可疑IP做限制，已经能覆盖多数场景。
服务器防盗链配置后，视频播放器无法播放怎么办？
先检查播放器是否自动去掉URL参数,有些播放器解析URL时只用pathname，忽略了查询字符串，解决方法是把时间戳签名直接拼在文件名后面，比如video_1699999999_xxxx.mp4，然后在服务器端用rewrite获取动态文件名校验，或者修改播放器代码，让它原样传递完整URL。
时间戳防盗链并不是什么黑科技,它只是用很小的成本，换一个相对安全的资源访问环境，实现路径不复杂，难的是你愿不愿意在自己网站里埋下一道“限时门”，先跑通一个图片路径，再逐步扩展到API和视频，你会发现服务器带宽曲线平滑了不少。