应柔性配置Nginx valid_referers白名单，包含none、blocked、主站及子域、可信CDN/平台域名等，按字体后缀或目录精准匹配，配合403拦截与长缓存，Referer仅作基础防护，高敏字体需叠加CORS、token或IP校验。
要保护跨域调用的静态字体资源（如 .woff2、.woff、.ttf、.eot），不能简单禁止所有非同源 Referer —— 因为现代前端应用常通过 CDN、微前端、或第三方平台（如微信 WebView、邮件客户端）加载字体，这些场景下 Referer 可能为空、被清空，或来自合法但非主站域名的来源。Nginx 的 valid_referers 需配合实际调用模式做柔性白名单，而非一刀封堵。
明确字体资源的合法调用来源
字体文件（尤其是 @font-face 加载）在浏览器中受 CORS 策略约束，但 Referer 行为更复杂：HTTPS 页面加载 HTTP 字体时 Referer 会被清空；PWA、WebView、邮件内嵌页常无 Referer 或带非标准值；CDN 回源请求可能带自身域名而非原始站点。因此白名单必须包含：
-
none：必选，兼容直接访问、书签打开、HTTPS→HTTP 跨协议加载、隐私模式等场景 -
blocked：覆盖被代理/防火墙剥离路径参数后的 Referer（如只留https://a.com） -
主站及子域：如
example.com和*.example.com -
可信 CDN 或平台域名：如
cdn.example.net、mail.qq.com（若邮件模板中使用字体）、mp.weixin.qq.com（微信公众号页面） -
主流搜索引擎与爬虫（可选）：如
~\.google\.com$、~\.baidu\.com$，避免影响 SEO 渲染
精准匹配字体文件类型，避免误伤
不要把防盗链逻辑放在 location / 或全局 server 块中。应限定在字体资源路径或后缀上，推荐两种写法：
-
按扩展名匹配（简洁常用）：
location ~* \.(woff2?|ttf|eot|otf|svg)$ { ... } -
按目录隔离（更安全）：
location ^~ /fonts/ { ... }，再配合alias或root指向字体存放路径
注意：避免对 /favicon.ico 或 /robots.txt 应用防盗链；字体资源本身不需支持 OPTIONS 预检，但若前端发 CORS 请求，需额外配 add_header Access-Control-Allow-Origin。
配置 valid_referers + 拦截动作示例
以下是一个生产可用的片段，兼顾安全性与兼容性：
location ~* \.(woff2?|ttf|eot|otf|svg)$ {
# 允许：无 Referer、被拦截的 Referer、主站全系域名、CDN、微信、百度
valid_referers none blocked
example.com *.example.com
cdn.example.net
~\.weixin\.qq\.com$
~\.baidu\.com$
~\.google\.com$;
<pre class="brush:php;toolbar:false;">if ($invalid_referer) {
return 403;
# 或返回透明占位字体（需提前准备）：
# rewrite ^(.*)$ /fonts/empty.woff2 break;
}
# 强制缓存（字体极少更新，设长缓存降低校验压力）
expires 1y;
add_header Cache-Control "public, immutable";
# 防止目录遍历与信息泄露
autoindex off;
add_header X-Content-Type-Options "nosniff";}
说明：
• 正则匹配注意转义点号（\.），~\. 表示以点开头的子域名或二级域名
• return 403 比重定向更轻量，也避免被用于探测漏洞
• 若业务允许，可将 return 403 替换为 rewrite 返回一个极小的合法字体文件（如 1B 的 empty.woff2），既防止报错又不暴露真实资源结构
补充建议：Referer 不是唯一防线
Referer 可被伪造，仅防“懒人盗链”。对高敏感字体（如付费字体包、品牌定制字型），建议叠加：
-
CORS 头强化：加
add_header Access-Control-Allow-Origin "https://example.com";，限制浏览器端跨域加载 -
Token 验证（进阶）：用
secure_link模块生成有时效的 URL，前端通过后端接口获取带签名的字体链接 -
IP 白名单（内网场景）：结合
geo或map指令，对内部系统调用放行全部 Referer
不复杂但容易忽略：每次修改后务必用 nginx -t 检查语法，并用 curl -H "Referer: https://bad-site.com" https://your.com/fonts/icon.woff2 实测拦截效果。
