在互联网上，资源的共享是常见的，但有时候我们不希望其他网站未经许可就直接引用我们的图片、视频或重要文件，这时就需要实现一种防盗链机制。PHP作为一种常用的服务器端脚本语言，提供了简单的方法来实现防盗链功能。本文将详细介绍如何使用PHP通过检查`HTTP_REFERER`头来验证请求来源，从而防止非本地URL的访问。
`HTTP_REFERER`是HTTP协议头部的一个字段，它记录了用户是从哪个页面点击链接到达当前页面的。虽然这个字段不是强制性的，但大多数浏览器会提供该信息。我们可以通过检查`$_SERVER['HTTP_REFERER']`全局变量来获取这一信息。
下面是一个简单的PHP防盗链验证实现：
创建一个HTML表单（index.php）供用户提交信息：
```html
<html>
<head>
<meta http-equiv="Content-Language" content="en" />
<meta name="GENERATOR" content="PHPEclipse 1.0" />
<meta http-equiv="Content-Type" content="text/html; charset=gb2312" />
<title>防盗链</title>
</head>
<body>
<form action="check.php" method="post">
提交信息：<input type="text" name="name" value="" />
<input type="submit" name="submit" value="提交" />
</form>
</body>
</html>
```
当用户点击提交按钮时，表单数据会被发送到check.php页面进行处理：
```php
<?php
$urlar = parse_url($_SERVER['HTTP_REFERER']);
print("<pre>");
print_r($urlar);
print_r($_SERVER['HTTP_REFERER']);
// 将"localhost"替换为你的实际域名
if ($urlar['host'] != "localhost") {
echo "验证错误！";
echo "<script>alert('连接失败');location.href='index.php';</script>";
exit;
}
print("</pre>");
?>
```
在check.php中，我们首先使用`parse_url()`函数解析`HTTP_REFERER`，这样可以获取到URL的各个组成部分，如主机名（host）。然后，我们检查`$urlar['host']`是否等于我们的预期域名（例如，"localhost"）。如果不匹配，说明请求并非来自我们的站点，那么就会输出错误信息并使用JavaScript将用户重定向回index.php页面。
然而，这个简单的实现存在一些局限性。`HTTP_REFERER`可以被禁用或伪造，因此这种方法并不是100%可靠的。对于直接输入URL而不是通过链接访问的情况，`HTTP_REFERER`将为空。为了提高安全性，可以结合其他验证方式，如检查HTTP头中的User-Agent，或者使用cookie和session来确认用户身份。
另外，更高级的防盗链策略可能包括使用令牌（token）系统，每个资源请求都需要一个有效的令牌，这样可以防止外部网站直接复制链接。还可以设置HTTP响应头中的`X-Frame-Options`来防止页面被嵌入到其他网站的框架中。
PHP通过`HTTP_REFERER`提供的防盗链验证是一种基础的防护手段，适用于一些简单场景。在实际应用中，可能需要结合多种技术来增强安全性，确保资源不被非法引用。
