宝塔防盗链需重载Nginx配置、CDN透传Referer且允许空Referer，否则失效；手动在server块中添加valid_referers规则更可靠，CDN场景下必须同步配置Referer白名单并验证日志中$http_referer值。
宝塔面板开启防盗链，本质就是让 Nginx 拒绝非白名单 Referer 的静态资源请求；但直接勾选“启用防盗链”可能失效——因为底层没生效或 CDN 拦截了 Referer 头。
宝塔面板防盗链开关为什么点了没用
常见现象：勾选了“启用防盗链”，填了 jpg,png 和 yourdomain.com，保存后用其他网站引用图片仍能正常显示。
- 没重载 Nginx 配置：勾选保存后必须点右上角的
重载配置（不是“保存”按钮本身） - CDN 层未透传
Referer：如果用了 Cloudflare、阿里云 CDN 等，它们默认不转发原始Referer，宝塔收不到真实值，校验永远通过 - 浏览器直接访问 URL 时
Referer为空，但你没勾选允许空HTTP_REFERER请求，导致自己网站首页图片也加载失败
Nginx 配置块中手动加 valid_referers 更可靠
宝塔图形界面生成的规则有时过于简略，比如不支持正则、无法排除后台路径。直接编辑站点配置文件更可控。
- 进入站点设置 → 配置文件 → 在
server块内找到或新增一个location块，例如：location ~* \.(jpg|jpeg|png|gif|webp|css|js)$ { - 在该块内插入标准 Referer 校验逻辑：
valid_referers none blocked *.yourdomain.com yourdomain.com;<br>if ($invalid_referer) {<br> return 403;<br>} -
none允许直接输入地址访问（如用户收藏图片链接），blocked允许被代理/隐私模式清空协议的 Referer - 注意：Nginx 不允许在
if中使用rewrite+break以外的跳转，想返回默认图请用return 302 /security.png或配合error_page 403 = /security.png
CDN 场景下 Referer 校验必然失效的真相
CDN 节点发起回源请求时，Referer 是 CDN 自己的域名（如 cdn.aliyuncs.com），不是用户浏览器的真实来源——所以宝塔看到的永远是“合法”Referer。
- 解决办法只有两个：在 CDN 控制台同步配置 Referer 白名单，并开启“透传 Referer 头”（阿里云叫“跟随源站”，Cloudflare 叫 “Origin Header”）
- CDN 端配置优先级高于宝塔，若 CDN 已拦截，宝塔规则根本不会触发
- 验证是否透传成功：在宝塔日志里查
$http_referer字段，看它是否等于真实来源域名，而不是 CDN 域名
真正起作用的防盗链，从来不是单点勾选，而是 Nginx 规则 + CDN 配置 + 日志验证三者对齐。最容易被忽略的是：你以为封掉了盗链，其实只是没看清日志里 $invalid_referer 始终为 0。
