Nginx防盗链需用valid_referers或map预设变量，配合if判断Referer合法性，再通过try_files按序检查文件；try_files不可嵌套if中，兜底应使用error_page+internal命名location更安全。
在 Nginx 中实现防盗链，通常用 valid_referers 配合 if 判断 Referer，再结合 try_files 实现资源兜底或跳转，但要注意：Nginx 的 if 在 location 中有作用域限制，try_files 不能直接放在 if 块内（语法错误），所以必须把逻辑“外提”——即先判断 Referer，设置变量或返回状态，再用 try_files 处理文件路径。
防盗链 + try_files 的标准写法
核心思路：用 valid_referers 标记合法来源，通过 set 或 map 设置变量，再在 location 中用该变量控制行为；try_files 放在正常请求流程里，用于按顺序检查文件是否存在，最后兜底（比如返回 403、重定向或默认图）。
- 推荐用
map指令预定义变量（更高效、更安全），避免在if中做复杂判断 -
try_files写在location块内，不嵌套在if里 - 非法 Referer 请求可直接
return 403，或重写为一个兜底路径（如/default.jpg），再由try_files尝试提供
示例：图片目录防盗链 + 默认图兜底
假设静态资源在 /data/images/，只允许来自 example.com 和子域名的请求，非法请求返回 /img/forbidden.jpg（该图本身不防盗链）：
map $http_referer $allow_ref {
~^(https?://)?(www\.)?example\.com($|/) 1;
default 0;
}
<p>server {
listen 80;
root /var/www/html;</p><pre class="brush:php;toolbar:false;">location /img/ {
# 先判断 Referer 合法性
if ($allow_ref = 0) {
rewrite ^(.*)$ /img/forbidden.jpg break;
}
# 合法请求才走 try_files，按顺序找文件
try_files $uri $uri/ =404;
}
# 确保兜底图不被防盗链限制（单独 location）
location = /img/forbidden.jpg {
allow all;
log_not_found off;
}}
注意：rewrite ... break 会内部重写请求 URI，然后重新匹配 location，因此后续仍会进入 try_files 流程——这就让兜底图也能被正确服务。
更稳妥的写法：用 error_page + named location
避免 if 的潜在问题（如与 try_files 冲突），可用 error_page 跳转到命名 location：
map $http_referer $invalid_ref {
~^(https?://)?(www\.)?example\.com($|/) "";
default 1;
}
<p>server {
location /img/ {
if ($invalid_ref) {
return 403;
}
try_files $uri =404;
}</p><pre class="brush:php;toolbar:false;">error_page 403 /img/forbidden.jpg;
location = /img/forbidden.jpg {
internal; # 只允许内部跳转，禁止直接访问
alias /var/www/html/img/forbidden.jpg;
}}
internal 确保兜底图只能被 error_page 触发，不对外暴露原始路径。
关键细节提醒
-
try_files是按空格分隔的路径列表，每个路径依次检查是否存在；末尾可以是状态码（如=404）或 URI（如/fallback） -
valid_referers本身不阻断请求，只是设置内置变量$invalid_referer，常配合if使用；但map更灵活可控 - 空 Referer（如直接浏览器地址栏输入）默认不通过
valid_referers，需显式加上none才允许 - HTTPS 站点要注意 Referer 可能被浏览器策略清空，测试时用 curl 模拟更可靠：
curl -H "Referer: https://example.com" http://yoursite/img/test.jpg
