最直接有效的方式是用 curl 命令模拟不同 Referer 场景，结合浏览器访问和日志观察，三步验证防盗链是否生效：1. 用 curl 测试合法、非法、空 Referer 和被屏蔽 Referer 的响应状态码与内容；2. 在浏览器中构造盗链页面，检查图片加载结果及 Network 面板状态码；3. 查 Nginx access.log 中非法 Referer 对应的 403/302 记录，确认拦截行为。
最直接有效的方式是用 curl 命令模拟不同 Referer 场景，结合浏览器访问和日志观察，三步验证是否真正生效。
用 curl 模拟非法 Referer 请求
在服务器或本地终端执行以下命令，重点看返回状态码和响应内容：
-
合法来源（应放行）：
curl -I -e "https://yourdomain.com" http://yourdomain.com/img/logo.png -
非法来源（应拦截）：
curl -I -e "https://badsite.com" http://yourdomain.com/img/logo.png -
空 Referer（如书签直连，应放行）：
curl -I http://yourdomain.com/img/logo.png -
被屏蔽的 Referer（如某些 App 内嵌页）：
curl -I -e "blocked" http://yourdomain.com/img/logo.png
预期结果：非法请求返回 403 或重定向到提示图/页面；合法请求返回 200 且 Content-Type 正确（如 image/png）。
浏览器中构造盗链页面测试
在另一台机器（或本地建一个 HTML 文件）写一个简单页面，引用你站点的图片：
<img src="http://yourdomain.com/img/test.jpg" alt="盗链测试">
用浏览器打开该页面，观察图片是否加载失败、显示占位符、或跳转到提示页。注意检查浏览器开发者工具的 Network 面板，确认请求状态码和响应头。
查 Nginx 访问日志快速定位拦截行为
盗链请求被拦截后，会在 access log 中留下明确痕迹。执行：
tail -f /var/log/nginx/access.log | grep "yourdomain.com/img/"
重点关注含以下特征的行：
- Referer 字段为非白名单域名（如
"https://evil-site.net/"） - 响应状态码为 403（return 方式）或 302（重定向方式）
- 响应体大小异常小（如 403 返回通常只有几十字节）
若日志中大量出现非法 Referer + 403，说明规则已起作用；若仍有 200，需检查 valid_referers 白名单是否漏配或匹配逻辑有误。
额外提醒：避开常见干扰项
测试时注意排除以下误判因素：
- 确保测试图片本身 不在防盗链 location 范围内（如提示图 /daolian.png 应放在独立路径，并关闭其防盗链）
- 微信、QQ 等 App 内浏览器常不带 Referer 或值为
blocked，务必在 valid_referers 中包含none blocked - 避免用同一浏览器反复测试：缓存可能影响结果，建议每次清空缓存或用隐身窗口
- 不要只测根域名——
example.com和www.example.com是两个不同值，白名单需分别列出或用*.example.com
