Nginx防盗链通过valid_referers定义合法来源并结合$invalid_referer判断，配合location正则匹配资源路径实现按类型防护；新版支持valid_referers内嵌正则匹配referer域名，可灵活允许子域或多主域，并通过if+return返回403或重定向提示图。
Nginx 防盗链本身不直接用正则表达式“匹配 referer”，而是靠 valid_referers 指令定义合法来源，再通过内置变量 $invalid_referer 判断是否拦截。但location 块支持正则匹配资源路径，这是实现按类型防盗链的关键组合方式。
用正则匹配静态资源后应用防盗链
这是最常用、最实用的方式：先用 location 正则选中要保护的文件（如图片、字体、JS），再在其中启用 referer 校验。
-
匹配常见图片格式（忽略大小写）：
location ~* \.(gif|jpg|jpeg|png|webp|bmp|ico|svg)$ { ... } -
匹配所有静态资源（含 CSS/JS/字体）：
location ~* \.(css|js|woff2?|ttf|eot|otf|pdf)$ { ... } -
匹配带版本号或哈希值的资源（如
/static/js/app.a1b2c3.js）：location ~* ^/static/.*\.(js|css|png|jpg)$ { ... }
valid_referers 的参数也支持正则（Nginx ≥ 1.17.0）
新版 Nginx 允许在 valid_referers 中使用正则表达式来动态匹配 referer 域名，比固定写死更灵活：
-
允许所有子域名和主站：
valid_referers ~^https?://([a-z0-9\-]+\.)?example\.com$;
→ 匹配example.com、www.example.com、cdn.example.com，但不匹配evil-example.com -
允许多个主域（用 | 分隔）：
valid_referers ~^https?://(example\.com|myapp\.net|staging\.example\.com)$; -
注意：正则必须用
~开头，且整个 referer 字符串需完全匹配（隐含 ^ 和 $）
配合 if + return 实现差异化响应
不要在 location 外使用 if，但可在正则 location 内安全使用 if ($invalid_referer) 做拦截或跳转：
-
返回 403 禁止访问：
if ($invalid_referer) { return 403; } -
重定向到默认提示图（推荐）：
if ($invalid_referer) { rewrite ^(.*)$ /images/forbidden.png last; }
→ 需确保/images/forbidden.png本身不在防盗链规则内（可用独立 location 放行） -
记录盗链请求（便于审计）：
log_not_found off;（避免刷满日志），或自定义 log_format 记录 $http_referer
避坑提醒
这些细节容易出错，务必注意：
-
location 正则优先级高于前缀匹配：若同时存在
location /images/和location ~* \.png$，后者会优先生效 —— 所以防盗链规则要放在更具体的 location 中，或用^~提前终止正则匹配 -
空 referer 默认被拒绝：如果希望用户直接在浏览器地址栏输入图片 URL 能打开，
valid_referers必须包含none -
HTTPS 和 HTTP referer 不同：从 HTTPS 页面引用 HTTP 资源时，referer 可能被浏览器清空（出于安全策略），建议全站统一协议，并在 valid_referers 中同时允许
http://和https://
