zblog网站防护插件 - ZBlogPHP 反自动化采集插件

AntiBot网站防护 — ZBlogPHP 反自动化采集插件

适用于 Z-BlogPHP 前台访问防护的插件，提供多维度自动化识别、客户端环境校验、IP 规则与日志管理能力。内置服务端检测与客户端 JS 双重防护，支持 .htaccess 前置拦截与搜索引擎蜘蛛自动放行。

版本：v1.6.0
适配：Z-BlogPHP 1.7.0+
PHP：≥ 7.2
作者：softbangong
授权：不限制网站数量，下载安装后永久免费使用

插件简介

本插件用于守护 Z-BlogPHP 网站前台安全，自动识别并拦截自动化采集工具、异常高频访问、代理与 VPN 流量、虚拟机与模拟器等高风险请求，降低无效负载，保护网站内容不被恶意采集。

插件在服务端实现了请求头完整性校验、频率限制、敏感端点防护、代理/VPN 检测、ChromeDriver 痕迹识别等多维度检测；同时在前端注入客户端 JS，通过 WebGL 硬件指纹、Canvas 渲染微差、浏览器环境评分、行为模式分析以及虚拟机/模拟器识别等深度检测手段，精准区分真人访客与自动化工具。Apache 环境下还支持 .htaccess 前置拦截，在 PHP 执行前即返回 403，大幅节省服务器资源。

后台提供可视化管理界面，支持各检测模块独立开关、拦截与自动拉黑日志查看、访客访问记录、IP 黑白名单配置、浏览器/语言/指纹规则封禁、搜索引擎蜘蛛白名单管理以及自定义拦截页面内容。

功能特性

服务端多维度检测

插件在 PHP 层面提供以下检测能力，每种检测均可独立启用或关闭：

— User-Agent 黑名单关键词检测：自动拦截包含采集工具、自动化脚本等特征的 UA 请求
— 标准请求头完整性校验：检测 Accept、Accept-Language、Accept-Encoding 等标准请求头是否缺失
— Sec-Fetch 安全标头检测：检查现代浏览器应携带的 Sec-Fetch-Dest、Sec-Fetch-Mode 等安全标头，拦截伪造请求
— ChromeDriver 痕迹检测：识别 Selenium / WebDriver 在 Cookie 或请求中留下的 CDC 特征变量
— 代理与 VPN 检测：内置全球主流数据中心 IP 段（AWS、Azure、GCP、阿里云等），支持自定义代理 IP 段补充
— 频率限制：按 IP 统计请求频率，超过阈值自动拦截或触发 JS 挑战
— 敏感端点保护：针对登录、注册、搜索等敏感路径单独统计访问失败次数，达到阈值自动拉黑
— 可疑参数检测：识别请求中携带 SQL 注入、XSS、路径遍历等可疑参数模式
— UA 伪装检测：比对 Chrome 版本号与操作系统兼容性、浏览器标识一致性等，识别伪造 User-Agent

客户端 JS 深度环境检测

插件在页面底部注入客户端检测脚本，对浏览器环境进行全面评估：

— WebGL 硬件指纹采集：读取 GPU 型号、着色器精度、WebGL 参数等渲染器信息，生成唯一的硬件指纹
— Canvas 渲染指纹：通过绘制特定图案并提取像素级渲染差异，生成 GPU 级别的 Canvas 指纹
— 浏览器环境评分：检测 navigator.webdriver、ChromeDriver CDC 变量、PhantomJS/NightmareJS 特征、window.chrome 对象完整性、navigator.plugins 与 mimeTypes 数量、Permissions API 等数十项指标
— 虚拟机与模拟器识别：通过 WebGL 渲染器名称（SwiftShader、llvmpipe、VirtualBox、VMware、KVM、Hyper-V、Parallels、Android Emulator 等）和屏幕分辨率、硬件核心数等综合判断虚拟机环境
— UA 深度伪造检测：校验 Chrome 版本号的合理性（版本范围、与操作系统兼容性）、Gecko 日期年份、多浏览器标识冲突等
— 行为模式分析：采集鼠标移动轨迹、移动距离、时间间隔标准差等熵值数据，区分真人操作与脚本模拟
— 设备唯一 ID：基于 localStorage 持久化的设备 ID，清除 Cookie 或更换 IP 后仍可追踪同一设备

.htaccess 前置拦截

Apache 环境下，插件自动生成 .htaccess 规则，在 PHP 运行之前于 Web 服务器层面对以下异常请求直接返回 403：

— UA 黑名单关键词拦截
— Sec-Fetch 安全标头缺失拦截
— 标准请求头缺失拦截
— ChromeDriver CDC Cookie 拦截
— Chrome 版本异常拦截
— UA 伪装（多浏览器标识冲突）拦截
— Accept-Language 缺失拦截
— 可疑参数模式拦截

前置拦截不加载 Z-BlogPHP 框架，仅由 block_log.php 记录拦截日志，极大降低被攻击时的服务器资源消耗。拦截页面支持中英双语自适应，并提供随机位置的真人验证按钮，允许误拦截的访客自行解除限制。

IP 规则与封禁管理

— 支持 IPv4、IPv6 单地址封禁
— 支持 CIDR 网段封禁（如 192.168.0.0/24）
— 支持 IP 起止范围封禁（如 10.0.0.1 - 10.0.0.255）
— 支持屏幕分辨率封禁（如 1024x768、800x600 等虚拟机常见分辨率）
— 支持浏览器类型封禁与操作系统封禁
— 支持系统语言封禁与浏览器指纹黑名单
— 每种检测模块可独立配置「自动拉黑」开关，触发检测后自动将 IP 加入黑名单

跨 IP 指纹追踪

启用后，同一浏览器指纹出现在多个不同 IP 上时，自动判定为自动化工具并加入黑名单。有效对抗使用代理池轮换 IP 的高级采集行为。

搜索引擎蜘蛛智能识别

插件内置 50+ 主流搜索引擎与社交媒体爬虫 UA 特征，包括 Google、Bing、百度、搜狗、360、神马、Yandex、DuckDuckGo、Yahoo 以及 Facebook、Twitter/X、LinkedIn、Telegram 等社交平台爬虫，自动放行不拦截。同时支持反向 DNS 校验，确认蜘蛛身份真实性。用户可自行添加自定义蜘蛛白名单或禁用特定爬虫。

后台管理功能

— 仪表盘统计：实时展示今日拦截数、今日放行数、今日挑战数、黑名单 IP 总数、蜘蛛访问数
— 检测模块总开关：一键启用或关闭所有防护，子模块自动折叠展开
— 各检测模块独立开关：每个检测项均有独立的检测开关和自动拉黑开关
— 拦截日志：记录每次拦截事件的 IP、UA、URL、请求方法、拦截原因、指纹、设备 ID，支持分页浏览与详情展开
— 自动拉黑日志：记录自动加入黑名单的操作历史
— 访客记录：记录所有前端页面访问，独立于防护开关运行

— 蜘蛛访问日志：记录被识别的蜘蛛爬虫访问详情
— 自定义拦截页面：支持自定义拦截提示文字（不超过 200 字符）
— 缓存自动清理：可配置频率缓存、端点缓存的自动清理周期

使用说明

第一步：安装插件

将 antibot 文件夹上传至网站 zb_users/plugin/ 目录，进入 Z-BlogPHP 后台「插件管理」页面，找到「AntiBot 网站防护」并点击启用。

第二步：配置检测模块

进入后台「插件管理 → AntiBot 网站防护 → 设置」页面：

— 页面顶部显示仪表盘统计卡片，可快速了解当前防护状态
— 总开关控制所有检测模块的启用与停用，展开后可逐一配置各子模块
— 每个检测模块（代理/VPN 检测、UA 检测、请求头检测、语言检测、Sec-Fetch 检测、CDC 检测、客户端环境检测、可疑参数检测、频率限制、黑名单检测、敏感端点保护、浏览器指纹检测、行为模式检测）均可独立启用或关闭
— 每项检测还配有「自动拉黑」开关，开启后触发检测即自动将 IP 加入黑名单
— 修改完成后点击页面底部的提交按钮保存配置

第三步：配置封禁规则

在「封禁规则」选项卡中，可配置以下拦截规则：

— IP 黑名单：填入需要封禁的 IP 地址（每行一个，支持 IPv4/IPv6/CIDR 网段/起止范围）
— IP 白名单：填入需要放行的 IP 地址，白名单优先于所有检测规则
— UA 黑名单：填入需要拦截的 User-Agent 关键词（每行一个，大小写不敏感）
— 浏览器封禁：填入需要拦截的浏览器名称关键词
— 操作系统封禁：填入需要拦截的操作系统名称关键词
— 语言封禁：填入需要拦截的 Accept-Language 关键词
— 指纹黑名单：填入需要拦截的浏览器指纹
— 屏幕分辨率封禁：填入需要拦截的屏幕分辨率（如 1024x768）
— 自定义代理 IP 段：补充自定义的数据中心 IP 范围

第四步：管理蜘蛛白名单

在「蜘蛛」选项卡中：

×

广告

— 内置蜘蛛列表页面展示所有预置的搜索引擎蜘蛛，每项可单独禁用
— 自定义蜘蛛页面可添加新的蜘蛛 UA 关键词及描述
— 蜘蛛禁用列表可管理已手动禁用的爬虫，支持重新启用
— 可开启蜘蛛访问日志，记录所有被识别的蜘蛛爬虫访问详情

第五步：查看日志

— 拦截日志：在「拦截日志」选项卡中查看所有被拦截的访问记录，支持按状态筛选、分页浏览、展开详情（含 UA 完整信息、客户端环境数据、行为数据等）
— 自动拉黑日志：查看系统自动将 IP 加入黑名单的操作记录
— 访客记录：在「访客记录」选项卡中查看所有前端页面访问记录
— 蜘蛛访问日志：查看被识别的搜索引擎蜘蛛访问详情

注意事项

— 本插件仅防护 Z-BlogPHP 前台页面访问，后台管理路径（/zb_system/、/zb_install/、/zb_users/）不受影响
— .htaccess 前置拦截仅在 Apache 环境下生效，Nginx / IIS 用户仅可使用 PHP 层面的检测功能
— 客户端 JS 检测依赖浏览器支持 JavaScript 和 WebGL，旧版浏览器或禁用 JS 的环境会被标记为可疑
— 代理/VPN 检测依赖内置的 IP 段数据，可能存在误判，建议根据实际访问情况调整白名单
— 启用自动拉黑功能后，被拦截的 IP 将自动加入黑名单，请定期检查拦截日志避免误拦正常用户
— 频率限制和敏感端点保护的阈值参数可根据网站实际访问量调整，默认值适用于中小型网站
— config.json 作为唯一配置存储文件，插件升级时请勿覆盖该文件以保留已有配置
— 所有日志均以 JSON 文件形式存储在插件 cache/logs 目录中，零数据库依赖

反馈与支持

— 作者：softbangong
— 作者网站：softbangong.top
— 作者网站：softbangong.com
— 邮箱：[email protected]

插件下载地址

更新日志

v1.6.0（2026-07-06）

— 新增 .htaccess 前置拦截功能，在 Apache 层对异常请求直接返回 403，大幅降低服务器资源消耗
— 新增前置拦截日志记录（block_log.php），与后台拦截日志查看器格式完全兼容
— 新增中英双语 403 拦截页面，支持随机位置真人验证按钮，访客可自行解除误拦截
— 新增设备唯一 ID 追踪（localStorage 持久化），清除 Cookie 或更换 IP 后仍可识别同一设备
— 新增跨 IP 指纹追踪：同一浏览器指纹出现在多个不同 IP 时自动判定为自动化工具
— 新增路径行为分析检测，识别对敏感路径的异常高频访问模式
— 新增 UA 伪装检测：Chrome 版本合理性校验、Gecko 日期校验、多浏览器标识冲突检测
— 新增 ChromeDriver CDC Cookie 检测与拦截
— 新增屏幕分辨率封禁规则，支持拦截虚拟机常见分辨率
— 新增访客记录功能，独立于防护开关记录所有前台页面访问
— 新增蜘蛛反向 DNS 校验，确认蜘蛛身份真实性
— 新增自定义蜘蛛白名单与蜘蛛禁用管理
— 新增蜘蛛访问日志独立记录
— 新增代理/VPN IP 段自动内置（AWS、Azure、GCP、阿里云等常见数据中心）
— 管理界面全面重构：模块卡片化布局、滑动开关、实时折叠展开、仪表盘统计
— 配置存储改为插件目录 config.json，零数据库依赖
— 新增自定义拦截提示文字配置
— 新增缓存自动清理机制

v1.0.0（2026-06-08）

— 初始版本发布
— 服务端基础检测：UA 黑名单、请求头完整性、频率限制、敏感端点保护
— 客户端 JS 注入：WebGL 指纹、Canvas 指纹、Selenium/WebDriver 检测
— IP 黑白名单管理（IPv4/IPv6/CIDR/范围）
— 搜索引擎蜘蛛自动识别放行
— 后台拦截日志与自动拉黑日志查看