Nginx防盗链通过valid_referers指令定义合法Referer域名白名单，配合if判断$invalid_referer实现拦截，支持none、blocked、server_names及通配符/正则匹配，推荐用map提升可维护性，但Referer可伪造，仅适用于防无意盗链。
Nginx 防盗链中配置第三方域名白名单，本质是控制 Referer 请求头来源，只允许指定的外部域名（如合作站点、CDN 域名）发起资源请求，其他来源一律拒绝或重定向。这不是简单的 IP 白名单，而是基于 HTTP Referer 的可信来源域名白名单。
核心思路是：用 valid_referers 指令定义合法 Referer，再配合 if 判断 + return 或 rewrite 实现拦截。
✅ 正确写法：使用 valid_referers + if
在 location 块中（通常针对静态资源路径，如 /images/、.jpg、.png 等），添加如下配置：
location ~* \.(jpg|jpeg|png|gif|webp|svg|css|js)$ {
valid_referers none blocked server_names
*.example.com
www.partner-site.com
cdn.my-cdn.net
~\.google\.
~\.bing\.
if ($invalid_referer) {
return 403;
# 或返回默认占位图：rewrite ^(.*)$ /static/forbidden.png break;
}
}说明：
-
none：允许无 Referer 请求（如直接访问、书签打开、curl 不带-H "Referer:..."） -
blocked：允许 Referer 被防火墙/代理过滤后只剩协议+域名（无完整 URL）的情况 -
server_names：允许本机server_name对应的域名（即自己站内引用） -
*.example.com：通配子域名（需注意 Nginx 1.19+ 才支持*.通配；旧版本可用正则） -
www.partner-site.com：精确匹配某合作域名 -
cdn.my-cdn.net：允许 CDN 回源请求（关键！否则 CDN 缓存失效） -
~\.google\.和~\.bing\.：正则匹配 Google/Bing 等搜索引擎（\.转义点号，~表示正则）
⚠️ 注意：valid_referers 必须写在 if ($invalid_referer) 之前，且仅对当前 location 生效。
? 替代方案：用 map 提升可维护性（推荐用于多规则场景）
当白名单域名较多或需复用时，避免 if 嵌套，改用 map 预计算：
# 在 http 块顶部定义
map $http_referer $is_valid_referer {
default 0;
"~^https?://(www\.)?example\.com(/|$)" 1;
"~^https?://partner\.site\.org(/|$)" 1;
"~^https?://cdn\.assets\.company\.io(/|$)" 1;
"~^https?://(www\.)?google\." 1;
"~^https?://(www\.)?bing\." 1;
}
server {
location ~* \.(jpg|png|js|css)$ {
if ($is_valid_referer = 0) {
return 403;
}
}
}优点：逻辑清晰、便于脚本更新、支持复杂正则、避免 valid_referers 的语法限制（比如不支持混合通配+正则）。
⚠️ 关键注意事项
- Referer 可被伪造：浏览器或 curl 可轻易伪造 Referer，因此该机制仅防“无意盗链”，不能替代鉴权。敏感资源应配合 token 或后端校验。
-
HTTPS 下 Referer 可能被裁剪：从 HTTPS 页面跳转到 HTTP 资源时，浏览器会清空 Referer；确保协议一致，或在
valid_referers中同时写http://和https://形式。 -
CDN/反向代理场景：如果前端有 CDN 或 Nginx 前置代理，真实 Referer 可能被覆盖，需确认
$http_referer是否来自客户端（而非上一级代理）。必要时用real_ip_header配合set_real_ip_from。 -
不要在
if中写proxy_pass：防盗链拦截必须用return或rewrite ... break，禁止在if内调用proxy_pass，Nginx 官方明确不支持。
? 补充：允许空 Referer（常被忽略）
很多合法场景（如 App 内 WebView、桌面客户端、扫码直连）不带 Referer。若业务需要支持，valid_referers 中保留 none 即可；若完全不允许空 Referer，删掉 none 并把 default 0 改为 default 1（配合 map）或依赖正则全覆盖。
不复杂但容易忽略。
