Apache配置时如何实现防盗爬虫

说到Apache服务器的防盗爬虫，很多开发者第一反应是加个防火墙或者限制IP。但其实，Apache本身自带了好几种很有效的玩法，组合使用下来，效果比想象中要好。下面把这些方法逐一拆开来看，希望能给你一些启发。

1. 用mod_rewrite模块，做简单的访问控制

mod_rewrite是Apache里的老牌利器，专门用来重写URL。你可以用它在访问层做过滤，阻止或限制对特定资源的请求。

RewriteEngine On
# 阻止特定IP访问
RewriteCond %{REMOTE_ADDR} ^123.456.789.0$
RewriteRule .* - [F]

# 阻止特定User-Agent访问
RewriteCond %{HTTP_USER_AGENT} ^BadBot$
RewriteRule .* - [F]

2. 引入mod_security，来点更精细的规则

mod_security是Apache生态里一个重量级的Web应用防火墙（WAF）。它不只能做简单的IP屏蔽，还能结合规则引擎，检测并阻止恶意请求。对于爬虫防范来说，它能干的活比mod_rewrite精细得多。

首先，确保安装了mod_security模块：

sudo apt-get install libapache2-mod-security2

然后，在Apache配置文件中启用mod_security：

LoadModule security2_module /usr/lib/apache2/modules/mod_security2.so

SecRuleEngine On
SecRequestBodyAccess On
SecResponseBodyAccess On
# 阻止特定User-Agent
SecRule REQUEST_HEADERS:User-Agent "@pm BadBot" "id:1234567,deny,status:403"
# 阻止特定IP
SecRule REMOTE_ADDR "@pm 123.456.789.0" "id:1234568,deny,status:403"

3. 用mod_evasive，防止暴力请求

如果担心爬虫发起暴力请求甚至DDoS，mod_evasive是专门干这个的。它能监控单IP的访问频率，一旦超过设定阈值，就自动加入黑名单，阻止后续请求。

先确保安装了mod_evasive模块：

sudo apt-get install libapache2-mod-evasive20

然后，在Apache配置文件中启用它：

LoadModule evasive20_module /usr/lib/apache2/modules/mod_evasive20.so

DOSHashTableSize3097
DOSPageCount2
DOSSiteCount50
DOSPageInterval 1
DOSSiteInterval 1
DOSBlockingPeriod 10

4. 用robots.txt，跟正经爬虫打个招呼

robots.txt虽然不是强制手段，但它是你与正经爬虫（比如百度和Google的收录机器人）沟通的第一道防线。设置得当的话，可以让它们放弃抓取敏感目录。

在网站的根目录下创建或编辑robots.txt文件：

User-agent: *
Disallow: /admin/
Disallow: /private/

5. 加个验证码，挡住自动化脚本

对于需要用户交互的页面，比如登录、注册、表单提交，验证码是个很直接的办法。虽然会牺牲一点用户体验，但对于自动化爬虫来说，要求它识别图片验证码，基本上可以把它挡在门外。

6. 用API密钥，锁定接口访问

对于API接口，最简单的控制手段就是用API密钥。只有携带了正确密钥的请求才被允许访问数据，否则直接返回403拒绝。很多框架都内置了相关的验证机制，比如Flask里可以这样写：

from flask import Flask, request, jsonify
app = Flask(__name__)
@app.route('/api/data', methods=['GET'])
def get_data():
api_key = request.headers.get('X-API-KEY')
if api_key == 'your-secret-api-key':
return jsonify({'data': 'sensitive information'})
else:
return jsonify({'error': 'Invalid API key'}), 403

if __name__ == '__main__':
app.run(ssl_context='adhoc')

最后总结一下——防盗爬虫没有银弹，但把上述几招组合使用，往往能覆盖大部分风险场景。从基础的IP限制、User-Agent过滤，到高级的WAF、频率控制，再到接口层的API密钥，层层叠加，爬虫就难有可趁之机了。