phpEnv默认不启用防盗链，需手动在站点vhost配置中添加Nginx的valid_referers规则；必须使用phpenv nginx restart重启，且白名单须包含none、blocked及完整域名（如*.yourdomain.com），避免Referer为空或被拦截导致合法访问失败。
phpEnv 默认不启用防盗链，必须手动在 Nginx 配置中添加 valid_referers 规则；直接改 .htaccess 或 PHP 脚本无效，因为 phpEnv 使用的是 Nginx + PHP-FPM 架构。
确认 phpEnv 使用的 Nginx 配置文件位置
phpEnv 的 Nginx 配置通常位于：C:\phpEnv\nginx\conf\vhost\your-site.conf（Windows）或 /usr/local/phpenv/nginx/conf/vhost/your-site.conf（Linux/macOS）。不要去改全局 nginx.conf，否则重启后可能被覆盖。
关键点：
- 每个站点对应一个独立的
vhost配置文件，修改前先确认当前生效的是哪个 - 用
phpenv nginx restart重启服务，不是nginx -s reload（后者可能不生效） - 配置里若已存在
location /块，防盗链规则应新增为另一个location ~* \.(jpg|png|gif|pdf|zip)$块，避免嵌套冲突
写对 valid_referers 白名单，别漏掉 none 和 blocked
常见错误是只写域名，导致用户直接输入图片 URL 访问失败（Referer 为空），或某些内网/代理环境返回 blocked 状态而被误拒。
立即学习“PHP免费学习笔记（深入）”；
正确写法示例：
location ~* \.(jpg|jpeg|png|gif|pdf|zip|mp4)$ {
valid_referers none blocked *.yourdomain.com yourdomain.com;
if ($invalid_referer) {
return 403;
}
expires 1d;
add_header Cache-Control "public, no-transform";
}说明：
-
none：允许浏览器地址栏直接访问（如https://yoursite.com/img/logo.png） -
blocked：允许 Referer 存在但被截断/清洗后的请求（常见于微信内置浏览器、部分企业防火墙） -
*.yourdomain.com和yourdomain.com：覆盖带 www 和不带 www 的情况；通配符*只支持子域名前缀，不能写成*或**.com
测试防盗链是否生效，用 curl -e 模拟 Referer
别依赖浏览器右键“在新标签页打开图片”来测试——这会带上合法 Referer。真正验证得用命令行模拟非法来源：
在终端执行：
curl -I -e "https://baidu.com" https://yourdomain.com/test.jpg
预期返回 HTTP/1.1 403 Forbidden；若返回 200，说明规则没生效或域名拼错。
容易踩的坑：
- 域名末尾多写了斜杠（
yourdomain.com/）或少了协议（应写yourdomain.com，不是http://yourdomain.com） - 配置文件里用了中文全角符号（如引号、括号），Nginx 启动会报
invalid number of arguments in "valid_referers" - 修改后忘记执行
phpenv nginx restart，只刷新页面看不到效果
动态资源（如 PHP 下载接口）不能只靠 Referer，要加 Token 验证
Referer 可被客户端伪造，对 download.php?file=xxx.zip 这类接口，仅靠 Nginx 防盗链形同虚设。必须在 PHP 层做校验：
例如在 download.php 开头加：
<?php
$allowed_referer = ['yourdomain.com', 'www.yourdomain.com'];
$referer = parse_url($_SERVER['HTTP_REFERER'] ?? '', PHP_URL_HOST) ?: '';
if (!in_array($referer, $allowed_referer)) {
http_response_code(403);
exit('Forbidden');
}
// 后续读取并输出文件
?>更安全的做法是结合时间戳+签名（类似 Nginx secure_link），但前提是你的 phpEnv 编译时启用了 ngx_http_secure_link_module —— 默认不启用，这点常被忽略。
