Nginx防盗链因valid_referers大小写敏感导致白名单漏判，需用~正则显式兼容大小写，如~^https?://(www.)?example.com(/|$)，并转义点号、加结尾锚定，禁用server_names兜底。
Nginx 防盗链规则因大小写敏感导致白名单漏网，本质是 valid_referers 指令对域名匹配默认区分大小写，而实际请求中的 $http_referer 可能携带大写域名（如 HTTP://WWW.EXAMPLE.COM 或 https://Example.Com），若白名单只写小写 example.com，就会误判为非法来源。
检查 referer 域名是否被大小写干扰
Nginx 的 valid_referers 不支持原生忽略大小写的正则匹配（如 (?i)），其 server_names 和字面字符串匹配均严格区分大小写。常见漏网场景包括：
- 用户从 HTTPS 页面用
window.open()打开新页，部分浏览器生成的 Referer 为HTTPS://EXAMPLE.COM - 某些旧版代理或企业网关重写 Referer 时保留大写协议头
- 爬虫（如早期 Bingbot）或测试工具手动构造 Referer，含大写域名
验证方法：
在 access.log 中搜索带大写字母的 referer，例如：
grep -E "Referer:.*[A-Z]" /var/log/nginx/access.log | head -20
再筛选出对应资源返回 403 的记录：
awk '$9 == "403" && $0 ~ /Referer:.*[A-Z]/ {print}' /var/log/nginx/access.log配置白名单时主动兼容大小写
不要依赖 Nginx 自动转换，而是显式覆盖大小写变体：
- 使用正则匹配模式（以
~*开头），开启不区分大小写：location ~* \.(jpg|png|webp|gif)$ { valid_referers none blocked ~*^https?://(www\.)?example\.com(/|$) ~*^https?://(www\.)?partner-site\.net(/|$); if ($invalid_referer) { return 403; } }
⚠️ 注意：~* 必须写在每个正则前；example\.com 中的点要转义；结尾 (/|$) 防止 example.com.hacker.ru 被误匹配。
- 若需匹配子域名通配（如
*.example.com），不能直接写*.example.com（这是 literal 字符串，区分大小写），应改用正则：~*^https?://([a-z0-9.-]+\.)*example\.com(/|$)
避免用 server_names 代替白名单做大小写兜底
valid_referers server_names 仅匹配 server_name 指令中完全一致的值（含大小写）。例如你写了：
server_name EXAMPLE.COM;
它才认 EXAMPLE.COM；若写的是 example.com，那 EXAMPLE.COM Referer 就不匹配。
所以：
-
server_names不解决大小写问题，反而加剧风险 - 应统一用
~*正则替代server_names，确保逻辑可控
日志中确认 UA + Referer 组合是否真实触发拦截
有时看似是大小写问题，实则是 UA 被误拦（比如爬虫无 Referer，但规则没放行 UA）。建议联合排查：
# 查看所有 403 请求中，Referer 含大写字母且 UA 是主流爬虫的情况
awk '$9 == "403" && $0 ~ /Referer:.*[A-Z]/ && $0 ~ /Baiduspider|Googlebot|Bingbot/ {print}' /var/log/nginx/access.log若存在，说明大小写+爬虫双重漏判，需同时补正则白名单和 UA 放行逻辑。
基本上就这些。
