如何限制ColdFusion 2016站点中非认证用户直接访问资源？

嘿，我来帮你搞定这个问题！你的核心需求是只阻止未登录用户直接输入URL访问静态资源（HTML、视频、图片），但允许已登录用户在站点内正常引用这些资源对吧？下面给你两个靠谱的解决方案，适配ColdFusion 2016的场景：

方案1：用Web服务器的URL Rewrite规则（以IIS为例，最常用） #

因为静态资源默认不经过ColdFusion处理，所以我们要在Web服务器层面结合ColdFusion的会话状态来判断。思路是：检查用户是否未登录，同时判断请求是不是直接输入URL（Referer为空或非本站来源），满足就拦截。

步骤： #

1. 先确保你的IIS安装了URL Rewrite模块（没装的话去IIS管理器的“模块”里添加）。
2. 写一个ColdFusion辅助脚本checkAuth.cfm，用来返回当前用户的登录状态：

<cfcontent type="text/plain">
<cfoutput>#structKeyExists(SESSION, "isLoggedIn") AND SESSION.isLoggedIn ? "true" : "false"#</cfoutput>

（这里假设你用SESSION.isLoggedIn来标记用户是否登录，根据你的实际会话变量调整就行）
3. 在站点根目录的web.config里添加Rewrite规则，替换你之前的配置：

<configuration>
  <system.webServer>
    <rewrite>
      <rules>
        <rule name="Block Unauthorized Direct Access" stopProcessing="true">
          <!-- 匹配需要保护的静态资源后缀，按需添加 -->
          <match url="\.(html|htm|mp4|avi|jpg|jpeg|png|gif)$" ignoreCase="true" />
          <conditions logicalGrouping="MatchAll">
            <!-- 调用checkAuth.cfm，判断用户未登录 -->
            <add input="{URL:{HTTP_HOST}/checkAuth.cfm}" pattern="false" />
            <!-- 判断Referer不是来自本站，或者为空（直接输入URL的情况） -->
            <add input="{HTTP_REFERER}" pattern="^https?://{HTTP_HOST}/.*$" negate="true" />
          </conditions>
          <!-- 未满足条件就重定向到登录页 -->
          <action type="Redirect" url="/login.cfm" redirectType="Found" />
        </rule>
      </rules>
    </rewrite>
  </system.webServer>
</configuration>

这个规则会放过已登录用户的所有访问，以及未登录用户从本站页面跳转过来的请求，但拦截未登录用户直接输入URL的情况。

方案2：用ColdFusion脚本代理静态资源访问（更安全） #

如果担心Referer伪造的问题，这个方案更可靠——把静态资源藏起来，通过CFM脚本统一分发，直接在ColdFusion里做登录校验。

步骤： #

1. 新建一个不对外暴露的目录（比如/protected_resources/），把所有需要保护的HTML、视频、图片都移进去，确保这个目录不能通过URL直接访问。
2. 写一个代理脚本serveResource.cfm，放在站点根目录：

<!-- 先校验用户登录状态 -->
<cfif NOT structKeyExists(SESSION, "isLoggedIn") OR NOT SESSION.isLoggedIn>
  <cflocation url="/login.cfm" addtoken="false" />
</cfif>

<!-- 获取要访问的资源路径，一定要做安全校验防止路径遍历攻击！ -->
<cfset requestedResource = url.resource />
<cfset resourcePath = expandPath("/protected_resources/" & requestedResource) />

<!-- 检查资源是否存在，且在允许的目录内 -->
<cfif NOT fileExists(resourcePath) OR NOT findNoCase(expandPath("/protected_resources/"), resourcePath)>
  <cfheader statuscode="404" statustext="Not Found" />
  <cfoutput>资源不存在</cfoutput>
  <cfabort />
</cfif>

<!-- 根据资源类型设置正确的Content-Type，保证浏览器能正常解析 -->
<cfset fileExt = listLast(requestedResource, ".") />
<cfswitch expression="#fileExt#">
  <cfcase value="html,htm">
    <cfcontent type="text/html; charset=utf-8" file="#resourcePath#" />
  </cfcase>
  <cfcase value="mp4">
    <cfcontent type="video/mp4" file="#resourcePath#" />
  </cfcase>
  <cfcase value="jpg,jpeg">
    <cfcontent type="image/jpeg" file="#resourcePath#" />
  </cfcase>
  <cfcase value="png">
    <cfcontent type="image/png" file="#resourcePath#" />
  </cfcase>
  <!-- 其他资源类型可以继续添加 -->
  <cfdefaultcase>
    <cfcontent file="#resourcePath#" />
  </cfdefaultcase>
</cfswitch>

3. 在你的页面里引用资源时，替换成代理脚本的URL，比如：
   • 原来的<img src="/images/guide.png">改成<img src="/serveResource.cfm?resource=images/guide.png">
   • 原来的<a href="/tutorials/intro.html">改成<a href="/serveResource.cfm?resource=tutorials/intro.html">

这样不管用户是直接输入URL还是从外部跳转，都会先经过ColdFusion的登录校验，只有已登录用户才能拿到资源，完全避免了直接访问的问题。

小提醒 #

• 不管用哪个方案，都要确保你的会话变量（比如SESSION.isLoggedIn）在用户登录时正确设置，注销时及时清除。
• 方案1里的checkAuth.cfm可以加个简单的保护，比如只允许本地IP访问，防止别人通过它探测用户登录状态。

内容的提问来源于stack exchange，提问作者user1706426