Nginx secure_link模块通过签名+过期时间+路径绑定实现轻量级静态资源访问控制，无需后端服务；配置需匹配secret、URI和expires，令牌用MD5生成，支持扩展IP/用户绑定与Referer校验。
nginx 的 secure_link 模块可实现基于哈希令牌的时效性资源访问控制，无需额外后端服务，适合保护图片、视频、下载包等静态资源。核心是“签名 + 过期时间 + 可选路径绑定”，安全且轻量。
启用模块并配置基础校验逻辑
确认 nginx 编译时已启用 --with-http_secure_link_module（主流发行版预编译包通常默认包含）。在 server 或 location 块中配置：
location /protected/ {
secure_link $arg_token,$arg_expires;
secure_link_md5 "secret_key$uri$arg_expires";
<pre class='brush:php;toolbar:false;'>if ($secure_link = "") {
return 403;
}
if ($secure_link = "0") {
return 410; # 已过期
}
# 校验通过，正常提供文件
alias /var/www/static/;}
说明：
- $arg_token 和 $arg_expires 分别从 URL 查询参数（如 ?token=abc&expires=1717027200）提取；
- secure_link_md5 中的字符串需与生成令牌时完全一致（含 secret_key、原始 URI 路径、expires 时间戳）；
- $secure_link 变量为 "" 表示签名无效，为 "0" 表示时间过期。
生成合法令牌的可靠方法
令牌本质是 MD5(base64_encode(明文)) 的十六进制摘要，必须严格匹配校验公式。推荐用脚本生成（以 Python 为例）：
import hashlib
import base64
import time
<p>uri = "/protected/photo.jpg"
expires = int(time.time()) + 3600 # 1小时后过期
secret = "your_strong_secret_key"</p><h1>注意：nginx 中 $uri 不带查询参数，且不自动解码，故 uri 应保持原始编码</h1><p>raw = f"{secret}{uri}{expires}"
md5_hash = hashlib.md5(raw.encode()).hexdigest()
token = md5_hash</p><p>url = f"<a href="https://www.php.cn/link/889da769f9507a4c97dfa153c9566088">https://www.php.cn/link/889da769f9507a4c97dfa153c9566088</a>}"
print(url) # <a href="https://www.php.cn/link/bc7b4e25f69535e8ff34363547ac09da">https://www.php.cn/link/bc7b4e25f69535e8ff34363547ac09da</a></p>关键细节：
- secret key 必须保密，不可硬编码在前端或日志中；
- URI 必须与 nginx 实际收到的请求路径完全一致（包括大小写、编码、前导斜杠）；
- expires 是 Unix 时间戳（秒级），不是相对时间或毫秒值；
- 若资源路径含中文或特殊字符，确保生成和请求时均使用相同编码（建议统一 UTF-8 + URL 编码）。
增强防护：绑定用户/IP 或限制 Referer
secure_link 本身不支持动态变量嵌入，但可通过拼接方式扩展验证维度：
- 绑定用户 ID：
secure_link_md5 "key$uri$arg_expires$user_id"，生成令牌时传入&uid=123，并在secure_link指令中写$arg_token,$arg_expires,$arg_uid； - 绑定客户端 IP：
secure_link_md5 "key$uri$arg_expires$remote_addr"（注意：NAT 或代理下$remote_addr可能不准，可改用$http_x_forwarded_for并确保可信）； - 叠加 Referer 白名单：
valid_referers none blocked example.com;+if ($invalid_referer) { return 403; }，与 secure_link 形成双重校验。
调试与线上注意事项
常见失败原因及应对：
- 403 响应但无日志：开启
error_log /path/to/error.log debug;，检查是否因变量为空、MD5 不匹配或路径不一致导致； - URL 中 token 被浏览器或 CDN 自动解码：确保生成时对 URI 部分不做多余 decode，请求 URL 中的 path 保持原始编码形式；
- CDN 缓存了 403 响应：在 location 块中添加
add_header Cache-Control "no-store, no-cache";，避免错误响应被缓存； - 高并发下时间偏差：确保服务器时间同步（
chronyd或ntpd），并给 expires 留出 1–2 秒余量。
该方案不依赖数据库或外部服务，性能开销极低，适用于百万级 QPS 场景。只要密钥不泄露、时间窗口合理、路径构造严谨，即可构建强效静态资源防盗链体系。
