Nginx 的 valid_referers 配合 if + return 403 是最轻量、最可控的防盗链方案，PHP 层无法拦截静态资源请求，因其默认由 Nginx 直接响应，不经过 PHP-FPM。
直接说结论：Nginx 的 valid_referers 配合 if + return 403 是最轻量、最可控的防盗链方案，PHP 层无法拦截静态资源请求，别在 PHP 里做 Referer 判断。
为什么不能用 PHP 做防盗链？
phpEnv 中所有以 .jpg、.png、.js、.css 等结尾的静态资源，默认由 Nginx 直接响应，根本不会经过 PHP-FPM。你在 index.php 里写 $_SERVER['HTTP_REFERER'] 判断，对图片请求完全无效。
- PHP 只处理
.php后缀或显式被fastcgi_pass转发的请求 - 防盗链必须在 Web 服务器层（Nginx）拦截，且越早越好
- 用 PHP 重定向或输出空内容，既增加延迟，又暴露资源真实路径
Nginx 配置 valid_referers 的实操要点
在 phpEnv 的 Nginx 配置中（通常是 /phpenv/nginx/conf/vhost/your-site.conf），针对静态资源 location 块添加防盗链逻辑：
location ~* \.(jpg|jpeg|png|gif|webp|js|css|woff2|ttf|svg)$ {
valid_referers none blocked server_names
*.yourdomain.com
yourdomain.com;
if ($invalid_referer) {
return 403;
# 或 return 444; （更静默，不发响应头）
}
}关键说明：
立即学习“PHP免费学习笔记（深入）”；
-
none允许无 Referer 请求（比如直接访问、书签打开） -
blocked允许 Referer 被浏览器隐私策略屏蔽（如 Firefox 的strict-origin-when-cross-origin） - 域名必须写全，
yourdomain.com和www.yourdomain.com视为不同来源，需都列上 - 通配符只支持
*.example.com，不支持example.*或路径匹配 - 避免滥用
if：仅限于$invalid_referer这类内置变量，安全且高效
测试与常见失效原因
配置后务必验证，否则容易“以为防住了，其实没生效”：
- 用 curl 模拟盗链：
curl -H "Referer: https://evil.com" https://yourdomain.com/test.jpg应返回 403 - 本地双击 HTML 文件打开（file:// 协议）会触发
none，但部分浏览器（Chrome 88+）会设为空 Referer 并归入blocked，建议加none blocked双保险 - CDN 或反向代理（如 Cloudflare）可能清空或伪造 Referer，此时需在 CDN 后端开启 “Forward Origin Referer” 或改用 Token 防盗链
- HTTPS 页面引用 HTTP 图片会因混合内容被浏览器屏蔽 Referer，导致误判——确保全站 HTTPS 且资源协议一致
真正难的是跨域协作场景：比如你提供 SDK 给第三方嵌入，既要放行他们的域名，又要防他们二次分发。这时 valid_referers 就不够用了，得配合 Nginx 的 map 指令做动态白名单，或者换用时间戳+签名方式。但对绝大多数 phpEnv 个人站或小项目，上面三步已覆盖 95% 的盗链风险。
