一句话结论

签名分发的下载页和安装链接是完全暴露在公网的，谁拿到都能访问。不做任何限制，轻则带宽被刷光、账单难看，重则包被批量抓走、分发链接被拿去二次传播。防护要在链接层、页面层、文件层分别做。

风险具体长什么样

• 带宽被刷。有人写个脚本反复请求那个几百兆的包，流量费用按量计费，一天下来账单会很不好看。
• 包被抓走。链接一旦被爬虫或者批量工具抓到，你的成品包就脱离控制了，可能被重新分发到别的地方。
• 链接被二次传播。安装链接被贴到公开场合，本来定向给一小批人的 App 变成了公开下载，这会显著增加证书被关注到的风险。
• 页面被扫。分发页上如果挂着其他入口，被扫描工具一遍历，整个站点的结构都暴露了。

第一层：链接本身

不要让安装包文件长期挂在一个固定的、可猜测的地址上。用带时效的访问凭证（Token，一次性或短时有效的访问凭据），过期自动失效，能挡掉大部分长期抓取。

链接里带的有效期不要设太长，够用户完成一次下载就行。定向分发的场景，可以做到一个用户一条链接，下载完即失效。

第二层：访问频率

• 按来源地址（IP）做频率限制：同一来源在单位时间内的请求次数超过阈值就先挡一挡。
• 对安装包文件单独设更严的限制，它的请求成本最高，不值得放行太多。
• 对异常特征做识别：短时间内大量不同的来源请求同一个文件、请求头里带着明显的自动化工具特征，这类流量可以直接拒掉。
• 给单日总流量设一个上限，超过就暂停服务，避免账单失控。

第三层：防盗链

防盗链（Referer 校验，检查请求是不是从你自己的页面发出来的）能挡掉相当一部分「直接盗用文件地址」的情况。做法很简单：只有从你的下载页发起的请求才放行，直接从别处访问文件地址的拒掉。

这一层不复杂但很有效，因为大部分批量抓取都是直接打文件地址，根本不会先去访问你的页面。

要做，但别做成用户障碍

防护和体验之间要找平衡，下面几条是踩过坑之后的建议。

• 限制要按「正常用户的行为」来定阈值，别按「最理想的请求量」来定。正常用户可能会重试、可能会换网络，阈值太紧会误伤。
• 被挡的时候给一句人话提示，别让用户对着一个转圈的页面发呆。写清楚「请稍后再试」或者「建议连接 Wi-Fi」。
• 不要把下载页藏在需要登录才能进的地方，除非你的用户本来就有账号体系。多加一道门槛，转化率会明显掉。
• 留一个人工通道，真遇到紧急分发的时候不至于被自己的规则卡住。

和掉签应急不冲突

有一点要说明：限流和防盗链跟证书状态没关系。证书出问题时该做的应急动作照做，这些防护措施不该成为临时调整的阻碍。所以配置的时候最好留一个能快速开关的口子，而不是写死在代码里。

小结

分发页不是「能用就行」的临时页面，它是你整个分发链路上面向公网的那一段。链接加时效、访问限频率、文件做防盗链，这三件事成本不高，但能挡掉绝大部分麻烦。

---

我是本期作者小思，想解决苹果企业签名、超级签名、TF签名问题？可以在微信公众号对话框找到我哦~（QQ：822404920　微信：A-mk5888）