Referer 防盗链需设为真实上级页面URL（如"https://example.com/article/123"），并配合匹配的User-Agent、必要Cookie及Accept等头字段，否则易返回403。
Referer 字段怎么设才有效
防盗链本质是服务端校验 Referer 请求头是否来自白名单域名。设成空字符串或乱填（比如 "https://google.com"）大概率被拒，因为目标站可能只放行特定子域或要求协议、路径匹配。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 先用浏览器开发者工具（Network 面板）真实访问一次图片/视频 URL，复制它发出请求时带的
Referer值——通常就是页面 URL 本身，比如"https://example.com/article/123" - Python 中用
requests.get(url, headers={"Referer": "https://example.com/article/123"})显式传入，不要依赖session自动继承（它不自动带 Referer） - 注意 URL 编码：如果原始 Referer 含中文或特殊字符（如
"https://site.com/文章?id=1"），需用urllib.parse.quote处理后再塞进 headers，否则可能被后端解析失败
为什么加了 Referer 还 403？检查 User-Agent
很多站点会组合校验：既看 Referer，也看 User-Agent。单独伪造 Referer，但用默认 requests 的 UA（"python-requests/2.31.0"），服务器一眼识别为爬虫直接拦截。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- Referer 和 User-Agent 必须同时设置，且风格匹配。比如 Referer 是
"https://www.zhihu.com/question/123"，User-Agent 就该用主流浏览器值，如"Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36" - 别硬编码 UA 字符串——不同目标站对 UA 敏感度不同。可准备 3–5 个常见 UA 轮换，或用
fake-useragent库动态获取（注意其默认会发 HTTP 请求，生产环境慎用） - 某些 CDN（如 Cloudflare）还会校验
Accept、Accept-Language，补全这两个 header 能显著提升通过率：{"Accept": "image/webp,*/*", "Accept-Language": "zh-CN,zh;q=0.9"}
requests.session 里 Referer 不自动传递？别指望它
requests.Session 不会把上一个请求的 Referer 自动带进下一个请求——Referer 是单次请求级字段，不是会话状态。很多人误以为用 session 访问页面后再 get 图片就能“继承” Referer，结果图片 403。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 每个资源请求都得手动指定
Referer，哪怕你刚用 session.get 过它的父页面 - 如果父页面 URL 和资源 URL 有规律（比如图片都在
/static/img/下），可提取父页 URL 的 scheme+netloc+path 前缀，拼出合理的 Referer，而不是复用完整资源 URL - 避免 Referer 和当前请求 URL 完全一致（比如请求
https://a.com/x.jpg时设 Referer 为它自己），部分服务会拒绝这种“自引”，应设为上级 HTML 页面地址
防盗链绕过失效的隐蔽原因：Cookie 或 token 绑定
有些站点的防盗链不是纯靠 Referer，而是把 Referer 校验和用户会话绑定。比如：你用浏览器访问页面时，服务端种了 __anti_ddos Cookie，后续图片请求必须同时携带这个 Cookie + 匹配的 Referer 才放行。
实操建议：
立即学习“Python免费学习笔记（深入）”；
- 打开浏览器 Network 面板，勾选 “Preserve log”，访问页面再点开某张图，看它的请求 headers 里有没有额外 Cookie 或自定义 header（如
X-Token） - 若存在，必须用
session.get()先加载页面，让 requests 自动保存 Cookie，再在图片请求中复用该 session（此时 Cookie 会自动带上） - 注意 Cookie 有效期：有些 anti-bot token 是分钟级过期的，不能缓存 session 太久；频繁请求时，建议每次取图前先 reload 一次父页面更新 Cookie
Referer 伪造只是第一层，真正卡住人的往往是 Cookie、token、时间戳这些隐性依赖。盯着 403 响应体里的提示（比如返回 {"code":403,"msg":"invalid referer or token"}）比盲目换 UA 更管用。
