Nginx的http_image_filter模块仅支持图片缩放、裁剪、旋转等基础处理，不具备防刷能力，需结合限流、Referer校验、Token鉴权等机制实现安全防护。
Nginx 的 http_image_filter 模块可实现轻量级图片实时处理（如缩放、裁剪、旋转），但不支持防刷——防刷需结合其他机制（如限流、鉴权、Referer/UA校验、Token签名等）。该模块本身无安全防护能力，仅负责图像变换。
一、启用 image_filter 模块并配置基础裁剪
确认 Nginx 编译时已启用 --with-http-image-filter-module（官方开源版默认不包含，需自行编译或使用 OpenResty/Tengine）：
- 检查模块：运行
nginx -V 2>&1 | grep -o with-http-image-filter-module，有输出即支持 - 在
http或server块中加载模块（无需显式 load，启用即生效） - 配置 location 实现按参数裁剪（示例：宽高固定裁切）：
location ~ ^/img/(.+)\.(jpg|jpeg|png|gif)$ {
alias /var/www/images/;
image_filter crop 300 200; # 强制裁为 300×200（居中截取）
image_filter_jpeg_quality 85;
image_filter_sharpen 50;
expires 1h;
add_header Cache-Control "public";
}支持的指令包括：resize（等比缩放）、crop（等比缩放后居中裁剪）、rotate（90/180/270度）。注意：crop 要求原始图尺寸 ≥ 目标尺寸，否则返回 415 错误。
二、动态裁剪：通过 URL 参数控制尺寸（需配合 map + rewrite）
原生模块不解析 URL 参数，需用 map 提取参数，并通过 rewrite 映射到带尺寸的 location：
- 定义变量映射（在 http 块）：
map $arg_w $width { default 0; ~^[0-9]+$ $arg_w; }
map $arg_h $height { default 0; ~^[0-9]+$ $arg_h; }- 重写请求路径（在 server 块）：
location /api/thumb/ {
rewrite ^/api/thumb/(.+)\.(jpg|jpeg|png|gif)$ /_thumb/$1.$2?w=$arg_w&h=$arg_h break;
}
location ^~ /_thumb/ {
internal; # 仅内部重写可访问
alias /var/www/images/;
image_filter resize $width $height;
image_filter_jpeg_quality 90;
expires 24h;
}访问 /api/thumb/photo.jpg?w=400&h=300 即可触发对应尺寸缩放。务必加 internal 防止外部直接绕过入口访问原始图路径。
三、基础防刷必须补充的措施（image_filter 本身做不到）
仅靠 image_filter 无法防盗链、刷量或恶意调用。需组合以下手段：
-
Referer 白名单：拒绝非授权站点引用
valid_referers none blocked server_names *.mydomain.com;<br>if ($invalid_referer) { return 403; } -
简单 Token 鉴权：URL 中携带时效性签名，Nginx 用
ngx_http_secure_link_module校验
例如：/img/photo.jpg?st=xxx&e=1717027200 → 校验签名与过期时间 -
请求频率限制：用
limit_req控制单 IP 图片请求频次limit_req zone=img_limit burst=5 nodelay;（需先定义 limit_req_zone） -
禁止直接访问原始图目录：将原始图放在
alias路径外，或用location ^~ /raw/ { deny all; }
四、注意事项与替代建议
该模块依赖 libgd，处理大图或高并发时 CPU 占用高，且不支持 WebP、AVIF 等新格式，也无渐进式加载、懒加载等前端优化能力。
- 生产环境建议：对高频/复杂需求，改用专用图像服务（如 Thumbor、Imgix、Cloudflare Images）或 CDN 图片处理功能
- 若必须用 Nginx，应搭配缓存（proxy_cache）避免重复处理；原始图建议预生成多套常用尺寸，静态化交付
- 调试时开启
error_log /path/error.log debug;可查看 image_filter 执行日志（需编译时加--with-debug）
