<meta name="referrer" content="origin">不能防盗链，它仅控制本页发起请求时向第三方发送的Referer为源站（如https://your-site.com），不带路径参数，属隐私保护而非访问控制；防盗链必须依赖服务端Referer校验或签名URL。
HTML模板本身无法防盗链，防盗链只对被它引用的静态资源（如图片、CSS、JS、字体）起作用。 你直接打开一个 index.html 文件，浏览器发请求时 Referer 为空、Origin 为 null，Nginx 或 Tomcat 的 referer 校验逻辑根本不会触发——它只在加载 <img src="logo.png"> 这类子资源时才生效。
为什么对 HTML 文件加 valid_referers 没用
valid_referers 指令只影响后续的 $invalid_referer 变量判断，而这个变量仅在 Nginx 处理「子资源请求」时才有意义。用户直接访问 /index.html 是主文档请求，不走 referer 校验路径。即使你硬写：location = /index.html { valid_referers none blocked example.com; if ($invalid_referer) { return 403; } }，这段也永远不会执行到 if 分支，因为 $invalid_referer 在该 location 中未被计算（valid_referers 必须在匹配资源的 location 块里声明才生效）。
常见错误现象：
- 配置了
valid_referers却发现盗链图片仍能加载——可能误配在server块顶层，或没覆盖到实际资源路径（比如图片在/uploads/而规则只写了/static/） - 搜索引擎快照打不开页面——把
valid_referers错误地套在 HTML 或/根 location 上，导致爬虫无 referer 被拦 - 微信内嵌页白屏——微信 WebView 加载 H5 时有时清空 referer，若白名单没加
none就会 403
真正该保护的是 HTML 引用的那些资源
重点锁住 <img>、<script>、<link rel="stylesheet">、<link rel="icon"> 等标签指向的文件。Nginx 推荐按扩展名 + 目录双维度控制：
立即学习“前端免费学习笔记（深入）”；
- 匹配通用静态资源：
location ~* .(jpg|jpeg|png|gif|webp|css|js|woff2?|ttf|eot|svg)$ - 匹配上传目录（更严格）：
location ^~ /uploads/ - 排除例外：
location = /favicon.ico { log_not_found off; access_log off; }和location = /robots.txt { } - 白名单必须含
none（直接访问、HTTPS→HTTP 场景）、blocked（代理 stripping referer）、以及你的域名：valid_referers none blocked example.com *.example.com ~*.baidu.(com|cn);
Tomcat 下 Referer 防盗链要绕过 Filter 陷阱
Tomcat 自带的 HttpHeaderSecurityFilter 不处理 referer，得用 RefererValve 或自定义 Filter。但注意：RefererValve 在 server.xml 的 <Host> 下配置时，只对静态资源有效；若你用 Spring Boot 内嵌 Tomcat，RefererValve 默认不生效，必须改用 Servlet Filter。
自定义 Filter 示例要点：
- 只拦截
GET请求，且路径匹配资源后缀：request.getServletPath().matches("\.(jpg|png|js|css)$") - 获取 referer：
String referer = request.getHeader("Referer")，注意空指针 - 校验逻辑不能只比域名，要解析 URL 后取 host：
new URL(referer).getHost()，否则https://evil.com/xss?referer=https://yoursite.com可绕过 - 别在 Filter 里重定向到占位图——Servlet 容器可能已提交响应，应返回 403 或流式输出小图
容易被忽略的三个关键点
第一，valid_referers 的域名值不带协议，写 example.com，别写 https://example.com，否则永远不匹配；
第二，HTTPS 页面加载 HTTP 资源时，浏览器会主动清除 referer，此时只有 none 和 blocked 能放行，务必包含；
第三，CDN 或反向代理（如 Cloudflare）可能改写 referer，需确认其是否透传原始头，或在 proxy_pass 前用 proxy_set_header Referer $http_referer; 显式传递。
