Nginx静态文件防盗链需在匹配资源的location块中同时配置root与valid_referers+if判断；valid_referers放行合法来源（none/blocked/域名），$invalid_referer为真时return 403。

Linux 下用 Nginx 实现静态文件防盗链，root 指令本身不负责防盗链，它只是指定文件系统路径；真正起作用的是 valid_referers 配合 $invalid_referer 变量和 if 判断。关键在于把 root 和防盗链逻辑放在同一个能精准匹配静态资源的 location 块里。

防盗链必须写在匹配静态资源的 location 中

不能把 valid_referers 放在 http 或 server 根层级——它只在 server 或 location 块内生效。推荐两种匹配方式：

• location ^~ /static/ { ... }：前缀匹配，适合资源集中存放在统一路径下（如 /static/css/app.css）
• location ~* \.(jpg|png|js|css|webp|svg)$ { ... }：正则匹配，适合按扩展名分散管理的资源

root 的位置决定文件路径是否可访问

root 必须出现在同一 location 块中，否则 Nginx 找不到文件，防盗链判断就失去意义。例如：

Browser Setup (No-Root Linux)

在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...

下载

• location ^~ /static/ { root /var/www/html; } → 请求 /static/js/main.js 对应磁盘路径 /var/www/html/static/js/main.js
• 如果漏掉 root，Nginx 默认用全局 root，容易错配路径或返回 404
• 不要和 alias 混用：alias 会截掉 location 路径前缀，root 是拼接，二者行为不同

valid_referers 白名单要包含真实访问场景

valid_referers 不是“拦截非法”，而是“放行合法”。多规则是“或”关系，满足任一即通过。必须保留：

• none：允许用户直接在浏览器输入 URL、点击收藏夹、PWA 离线加载等无 Referer 场景
• blocked：允许被企业防火墙、代理、隐私浏览器清空 Referer 的请求（如值为 about:blank 或 localhost）
• 你的域名：如 example.com、www.example.com、*.example.com（注意子域名需单独写或用通配符）

典型配置示例（含 root + 防盗链）

以下配置限制仅允许本站及指定来源访问 /static/ 下所有文件，非法请求返回 403：

location ^~ /static/ {
    valid_referers none blocked example.com *.example.com;
    if ($invalid_referer) {
        return 403;
    }
    root /var/www/html;
    expires 1y;
    add_header Cache-Control "public, immutable";
}

注意：return 403 是最清晰的做法；避免用 rewrite 跳转默认图，否则状态码变成 200，掩盖真实拦截行为，也易引发参数丢失或循环匹配问题。