Nginx配置防盗链

Fri, 14 Aug 2026 00:00:00 +0800

我们在日常浏览网页时，偶尔会遇到图片裂开的情况；若试着在新标签页中单独打开该图片的链接，浏览器可能会弹出一个 403 Forbidden（禁止访问） 的错误提示。这通常意味着：当前网页并未在自己的服务器上托管这张图片，而是直接在外链中引用了其他站点的资源。被引用的源站为了保护自身的服务器资源与出口带宽，通过 Nginx 识别出了此类未经授权的外部请求，并主动返回了 403 拒绝访问。

这种用来防范外部网站直接引用本站静态资源的保护机制，就是我们常说的 Nginx 防盗链（Anti-Hotlinking）。

1. 原理浅析：HTTP Referer

浏览器在加载网页内的图片、音视频等资源时，遵循 HTTP 协议规范，通常会在请求头中自动附带一个 Referer 字段，用于告知服务端“这个资源请求是从哪个网页发起的”。

例如，当用户在第三方网站 https://other-site.com 浏览时，页面加载了本站的图片，浏览器向本站发出的请求大致如下：

1GET /logo.png HTTP/1.1
2Host: your-domain.com
3Referer: https://other-site.com/page.html

Nginx 正是通过内置的 ngx_http_referer_module 模块，提取请求头中的 Referer 并与我们设定的白名单进行比对，从而判断请求来源是否合规。

不过，Referer 可能因为浏览器隐私策略、Referrer-Policy、代理或浏览器扩展而缺失，也可以被客户端伪造。因此，Referer 防盗链适合做粗粒度限制，不应作为身份认证或强安全边界。

注意事项：不要把 Referer 白名单当成搜索引擎认证。因为搜索引擎抓取图片时不一定会携带 Referer。本例保留 none，已经允许无来源头的正常请求；如果确实遇到特定爬虫无法访问，应先结合实际请求日志排查，再按业务需要增加白名单。仅凭 Referer 域名无法可靠证明请求来自搜索引擎，也不能单独保证 SEO 效果。

2. 解决方案

为了兼顾系统安全与业务体验，针对未经许可的外部引用，Nginx 通常有两种主流的配置策略：

2.1 直接返回 403 状态码（更轻量、最省带宽）

发现请求来源不合规时立即切断响应，不给对方传输多余数据，这是大多数生产环境的首选方案。

 1# 图片与多媒体资源防盗链配置
 2location ~* \.(gif|jpg|jpeg|png|bmp|webp|avif|svg|mp4|mov)$ {
 3 # 仅对 URL 带版本指纹的静态资源使用 immutable
 4 # 使用单个 Cache-Control 头，避免与 expires 重复设置缓存策略
 5 expires off;
 6 add_header Cache-Control "public, max-age=2592000, immutable";
 7
 8 # 流量很大时可关闭；如需审计或排查盗链，请保留日志或改用条件日志
 9 access_log off;
10
11 # 合法 Referer 白名单配置：
12 # - none: 允许直接在浏览器地址栏打开或从书签访问（无 Referer）
13 # - server_names: 自动匹配本 server 声明的所有合法域名
14 # - *.example.com: 放行 example.com 下的子域名
15 valid_referers none server_names *.example.com;
16
17 # 非法来源直接返回 403 阻断
18 if ($invalid_referer) {
19 return 403;
20 }
21}

核心参数说明：

Nginx 快速入门

Thu, 13 Aug 2026 22:00:00 +0800

1. Nginx 简介

在现代 Web 架构中，Nginx 往往是流量到达服务器的第一道门面。它兼具极高的吞吐能力与轻量资源消耗，常用于静态站点分发与后端服务网关接入。

1.1 什么是 Nginx

Nginx 是一款开源、高性能的 HTTP 服务器与反向代理服务器，核心架构基于单 Master 多 Worker 的异步非阻塞事件驱动模型（Linux 环境下使用 epoll）。

其核心能力：

静态资源直出：高效托管 HTML、CSS、JS 及各类多媒体文件，直接经由内核零拷贝响应，释放后端算力。
反向代理与流量分发：作为内部集群的前置入口，对外暴露统一端口，无感转发后端请求。
虚拟主机路由：支持基于单个端口配置多个域名（Server Name），实现单机多站点的精细隔离。
平滑热升级：内置优秀的信号处理机制，修改配置与更新二进制无需停机，实现零感知运维。

2. Nginx 安装与启动

2.1 包管理器安装

(1) 系统包管理器（推荐日常使用）

Ubuntu / Debian：

1sudo apt update
2sudo apt install -y nginx

CentOS / RHEL：

1sudo yum install -y epel-release
2sudo yum install -y nginx

macOS：

Nginx on 041 Blog