<p>可通过 lua-nginx-module 在 Nginx 中动态读取 Redis 的 Referer 黑白名单实现热更新防盗链：在 access_by_lua* 阶段提取并清洗 Referer，复用连接查询 Redis 判定放行，支持缓存、降级与日志调试。</p>
可以通过 lua-nginx-module 在 Nginx 中动态读取 Redis 存储的 Referer 黑白名单，实现灵活、可热更新的防盗链控制。核心思路是：在 access_by_lua* 阶段拦截请求，提取并校验 Referer，再同步/异步查询 Redis 判断是否放行。
配置前提：启用 Lua 和 Redis 支持
确保已编译安装 lua-nginx-module 和 lua-resty-redis（推荐使用 OpenResty 发行版）。在 nginx.conf 的 http 块中添加：
- 加载 Lua 模块：
lua_package_path "/path/to/lua-resty-redis/lib/?.lua;;"; - 预创建 Redis 连接池（复用连接，避免频繁建连）：
init_by_lua_block { ... }中初始化resty.redis实例并设置池大小 - 定义防盗链 location，如
location ~* \.(jpg|jpeg|png|gif|webp)$ { ... }
提取并标准化 Referer 字段
Referer 可能为空、被伪造或含协议/路径，需清洗后比对：
Redis Skill - 高性能缓存管理
下载
Redis 缓存和数据结构管理技能。通过自然语言操作 Redis，支持 String、Hash、List、Set、ZSet、Stream 等数据结构操作。当用户提到 Redis、缓存、消息队列、会话存储时使用此技能。
- 用
ngx.var.http_referer获取原始值，空值或非法格式（如不含://）视为非法来源 - 正则提取域名部分：例如
https://shop.example.com/path→shop.example.com；支持通配符匹配（如*.example.com），需在 Lua 中解析 - 统一转小写，避免大小写敏感问题
从 Redis 查询黑白名单并决策
建议将白名单存为 referer:whitelist（Set 或 Sorted Set），黑名单存为 referer:blacklist（Set）。Lua 中逻辑如下：
- 先查黑名单：若命中直接
ngx.exit(403) - 再查白名单：若未命中且白名单非空，则拒绝（即“仅允许白名单”模式）
- 使用
redis:get_reused_connection()复用连接，超时设为100ms，失败时降级为放行或拒绝（按安全策略选） - 缓存结果到 Lua shared dict（如 5 秒 TTL），减少 Redis 压力
支持运行时热更新与调试
黑白名单应可通过外部工具（如 CLI 或管理后台）实时写入 Redis，无需 reload Nginx：
- 白名单示例命令：
redis-cli SADD referer:whitelist "example.com" "*.cdn.net" - 黑名单示例：
redis-cli SADD referer:blacklist "evil-site.com" - 加日志记录（
ngx.log(ngx.INFO, ...)）便于排查误拦，但生产环境关闭 debug 级别 - 可配合
lua-resty-lock防止缓存击穿（当大量请求同时发现缓存失效时）
不复杂但容易忽略细节：Referer 可被轻易伪造，该方案适合防御普通盗链，高安全场景需结合 Token 验证或 User-Agent+IP 组合策略。
