Referer校验不能仅用字符串匹配，需先解析并规范化为scheme+host，再与白名单精确比对；空Referer需明确策略；Gin中须显式return防后续执行；fasthttp要注意字节切片拷贝和URL解码；Referer仅作辅助，须结合签名、token等多重防护。

Referer 校验为什么不能只靠字符串匹配

直接用 strings.Contains(r.Header.Get("Referer"), "example.com") 会漏掉协议差异、子域名绕过和空 Referer 误判。浏览器可能发空 Referer（比如从 HTTPS 页面跳转到 HTTP），也可能带端口或路径后缀，硬匹配容易把合法请求拦掉，或者被构造 Referer 绕过。

• 必须先规范化 Referer：提取 scheme + host（去掉 path、query、port 若为默认值）
• 白名单应存为 []string，每个元素是完整 host（如 "app.example.com"），不带协议和斜杠
• 对空 Referer 的处理要明确：允许、拒绝，还是降级校验（比如配合 token）
• 注意 Go 的 net/http.Request.Referer() 是 getter 方法，不是字段，别写成 r.Referer

在 Gin 中中间件里做 Referer 白名单校验

Gin 的中间件最常用，但要注意 c.Abort() 后必须显式返回，否则后续 handler 仍可能执行。Referer 校验失败时，别只写 c.Abort() 就完事。

• 用 url.Parse(c.Request.Referer()) 解析，检查 err 和 u.Host 是否为空
• 用 strings.HasSuffix(host, whiteItem) 或精确匹配（推荐后者），避免 "evil.com.example.com" 这类子域名污染
• 示例片段：

  if referer == "" {
      c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "missing referer"})
      return
  }
  u, err := url.Parse(referer)
  if err != nil || u.Host == "" {
      c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "invalid referer"})
      return
  }
  allowed := false
  for _, domain := range whitelist {
      if u.Host == domain {
          allowed = true
          break
      }
  }
  if !allowed {
      c.AbortWithStatusJSON(http.StatusForbidden, gin.H{"error": "referer not allowed"})
      return
  }

FastHTTP 场景下 Referer 获取和性能陷阱

fasthttp 不兼容标准库的 *http.Request，它的 Request 是复用结构体，Header.Peek("Referer") 返回的是字节切片，直接转 string 会有内存拷贝开销；更关键的是，它不自动 decode URL 编码，某些 Referer 值含 %20 等编码需手动处理。

Golang Spf13 Viper

Go 配置库，使用 spf13/viper — 分层优先级（flag > env >file > KV > default），提供 BindPFlag/BindPFlags、SetEnvPrefix + SetEnvKeyReplace 等功能。

下载

• 用 string(ctx.Request.Header.Peek("Referer")) 获取原始值，不要用 ctx.Request.Referer()（该方法已弃用）
• 若白名单含国际化域名（IDN），需先用 golang.org/x/net/idna 转 Punycode，再比对
• 避免在每次请求中重复初始化白名单 slice —— 提前定义为包级变量或传入中间件闭包
• 测试时用 curl -H "Referer: https://sub.example.com/path" ... 验证 host 提取逻辑，别依赖浏览器自动带 Referer

防盗链和防刷要组合使用，单靠 Referer 很脆弱

Referer 可被任意伪造（curl、Postman、甚至浏览器开发者工具都能改），纯前端控制毫无意义。它只能作为第一道轻量过滤，真正要防刷，得叠加其他手段。

立即学习“go语言免费学习笔记（深入）”；

• 静态资源（图片、JS、CSS）可结合 Nginx 的 valid_referers 做前置拦截，减轻 Go 服务压力
• 关键接口必须配签名（如 timestamp + sign）或短期 token（JWT），Referer 只作辅助维度
• 高频请求需记录 IP + Referer + User-Agent 组合，用 Redis 做滑动窗口计数，超限则拒绝
• 注意移动端 WebView 和小程序环境：微信 WebView 的 Referer 固定为 https://servicewechat.com/，不能按 Web 规则校验

Referer 白名单本身很简单，但把它嵌进真实业务流时，边界情况比想象中多——空值、编码、IDN、WebView 特性、CDN 缓存干扰，都得一个个实测确认。