正文： 在 Taocarts 做外贸独立站建站开展国货代购业务，系统会产生海量的签收照片、普通验货、精细验货实拍图片。这些图片一方面是售后纠纷最重要的业务凭证，另一方面也属于商家业务产出的资源。互联网上恶意爬虫、采集程序，会批量抓取站点图片，把验货实拍图搬运到别的站点，造成资源被盗用。私有化部署的 Taocarts 跨境电商独立站系统，可以通过多重手段配置图片防盗保护，保护海外独立商城建站项目当中业务图片资源，也是跨境独立站搭建完成之后服务器安全加固的一环。
首先明确业务图片访问权限逻辑：验货、签收图片，属于对应订单下客户私有资源，只有该订单对应的登录客户账号，以及后台管理员、仓库账号有权限查看，不应该允许匿名访客直接通过图片 URL 直接访问下载。如果没有防盗保护，爬虫拿到图片完整链接，不需要登录账号就可以直接访问图片，批量采集所有实拍图片。
私有化部署环境下，有几类防盗保护手段可以组合使用。第一，站点程序权限校验，访问业务订单图片，校验访客登录身份，校验是否属于该订单所属客户。未登录匿名访客访问图片地址直接拒绝访问。这一层是应用程序层面的保护，Taocarts 原生具备权限校验逻辑，不要关闭身份校验。很多商家做调试的时候关闭权限校验，上线生产环境务必重新开启。
第二，如果图片存放在对象存储，开启对象存储防盗链 Referer 校验。设置只允许我们自己的站点域名可以引用图片资源；其他外部域名引用图片链接直接返回 403 拒绝访问。Referer 防盗链可以阻挡大部分简单爬虫。注意 Referer 防盗链可以被部分高级爬虫伪造，只能作为第一层防护，不能完全依赖。
第三，CDN 层面配置防盗链规则，如果站点接入 CDN 加速，在 CDN 控制台开启 Referer 黑白名单，只放行我方域名。
第四，图片 URL 增加时效签名机制。对象存储支持生成带时效的访问签名 URL，图片链接具备有效期，过期之后链接失效。就算爬虫抓取到图片链接，过一段时间链接失效，无法继续使用图片。适合存储大量验货图片的业务场景。
注意，防盗保护会区分两类图片：一类是公开站点图片，首页 banner、帮助文档配图，允许匿名访客访问；另一类是订单业务图片（签收、验货、精细验货），仅限对应客户和后台人员查看，禁止匿名访问。不要把全部图片全部设置防盗，导致首页公开图片打不开。
运维常见踩坑。第一，开发调试阶段关闭图片权限校验，上线生产忘记打开，造成全部业务图片可以匿名访问。上线之前一定要做测试：退出登录，复制一张验货图片 URL，粘贴浏览器地址栏，确认未登录状态访问被拒绝；登录该订单所属客户账号，才可以正常打开图片。第二，只配置 CDN / 对象存储防盗链，但是程序内部身份校验关闭，高级爬虫伪造 Referer 依旧可以抓取图片。需要多层防护，程序校验 + 防盗链互相叠加。第三，开启防盗之后，检查邮件通知内的图片是否可以正常展示，邮件客户端没有 referer，业务通知邮件里面尽量不要直接嵌入受防盗保护的验货图片。
SaaS 版本外贸网站搭建平台，防盗相关配置权限掌握在服务商手里，商家无法自主设置；私有化部署 Taocarts 跨境自建店铺系统，服务器、对象存储、CDN 全部由商家掌控，可以完整配置多层图片防护策略。
防盗保护不是百分百隔绝所有盗用，多层防护可以阻挡绝大多数低成本恶意爬虫，大幅提升爬虫采集的门槛。无法做到绝对防护，依旧存在客户登录之后手动保存图片向外分发的情况，这属于客户侧人为行为，系统无法拦截。
总而言之，多重防护保护订单验货、签收业务图片资源。依托 Taocarts 跨境电商独立站系统做好权限、防盗链、时效签名配置。做好外贸独立站建站，搭建你的海外独立商城建站项目，保护业务实拍凭证图片，减少恶意爬虫盗用。