想象一下，你精心制作的高清教程视频、独家设计的图片素材，或者付费下载的文档，被别的网站直接贴上链接就用。你的服务器流量白白消耗，带宽成本飙升，而对方却坐享其成。这感觉，就像自家果园的果子被路人随意摘取一样。Nginx的防盗链功能，就是为你果园筑起的一道智能围墙。

一、防盗链的核心原理：认“介绍信”

防盗链的技术原理并不复杂，它主要依赖于HTTP请求头中的一个字段：Referer（或在新标准中写作 Referrer）。当用户浏览器从一个网页（比如盗链网站B）点击链接，去访问另一个网页或资源（比如你的网站A的图片）时，浏览器会在请求头中带上这个Referer字段，告诉服务器：“我是从网站B那个页面过来的”。

Nginx的防盗链模块，就是检查这个“介绍信”。如果“介绍信”（Referer）来自我们认可的白名单（比如我们自己的域名），就放行；如果来自未知的或不信任的源，就拒绝访问，可以返回403错误或者一张替代的“警告图片”。

二、基础配置：使用 valid_referers 指令

这是Nginx内置ngx_http_referer_module模块提供的核心指令，无需额外安装，非常适合大多数场景。

技术栈：Nginx

让我们来看一个最经典的配置示例。假设我们要保护 /images/ 和 /videos/ 目录下的所有资源。

server {
    listen 80;
    server_name www.yourdomain.com;

    # 保护图片目录
    location ~* \.(jpg|jpeg|png|gif|webp)$ {
        # 定义有效的来源（白名单）
        # none: 允许没有Referer头的直接访问（比如浏览器地址栏直接输入）
        # blocked: 允许Referer头被防火墙或代理修改过（值不以http://或https://开头）的访问
        # server_names: 允许本server块内server_name定义的域名
        # 字符串或正则: 明确指定的域名
        valid_referers none blocked server_names
                      *.yourdomain.com
                      ~.google.
                      ~.bing.
                      ~.baidu.;

        # 如果来源不在白名单中
        if ($invalid_referer) {
            # 返回403禁止访问
            # return 403;

            # 或者更友好（或更具警示性）地，重写为一个指定的图片
            rewrite ^ /static/anti-hotlink.png;
        }
    }

    # 保护视频目录，策略可以不同
    location /videos/ {
        valid_referers none blocked server_names *.yourdomain.com;

        if ($invalid_referer) {
            # 对于视频，直接返回403可能更合适
            return 403;
        }

        # 正常的视频服务配置，例如启用断点续传
        alias /path/to/your/videos/;
    }

    # 用于显示防盗链提示图片的位置
    location = /static/anti-hotlink.png {
        alias /path/to/your/anti-hotlink-image/;
        # 设置一个较长的缓存时间，这个图片不常变
        expires 30d;
    }
}

配置解析：

  1. location ~* \.(jpg|jpeg|png|gif|webp)$：使用不区分大小写的正则匹配所有图片文件。
  2. valid_referers：列出了所有“合法”的来源。这里允许：
    • 直接访问（none）。
    • Referer被修改的访问（blocked）。
    • 来自自身域名（server_names 和 *.yourdomain.com）。
    • 来自谷歌、必应、百度这些主流搜索引擎的爬虫（使用正则~.google.匹配），这对SEO很重要，否则你的图片可能在搜索结果中无法预览。
  3. if ($invalid_referer)：当$invalid_referer变量为1时，表示当前请求的Referer不在白名单内，执行括号内的规则。
  4. 我们提供了两种处理方式：直接return 403，或者rewrite到一张提示图片。后者用户体验稍好，且能明确告知访问者资源被保护。

三、进阶防护：使用 secure_link 模块实现签名防盗链

valid_referers 方法虽然简单，但存在明显缺陷：Referer头可以被轻易伪造。对于需要更高安全级别的场景，比如付费内容、时效性链接，Nginx的ngx_http_secure_link_module模块提供了基于哈希签名的解决方案。

原理：服务器生成一个带有时戳和签名的链接。Nginx在收到请求时，会验证签名是否有效、链接是否过期。

技术栈：Nginx

首先，确保你的Nginx编译时包含了--with-http_secure_link_module。然后，我们需要一个后端程序（这里以PHP为例）来生成签名链接，Nginx负责验证。

步骤1: Nginx 验证配置

server {
    listen 80;
    server_name www.yourdomain.com;

    location /protected/ {
        # $secure_link: 验证结果变量，为空表示验证失败，为1表示成功
        # $secure_link_expires: 从链接中提取的过期时间戳
        secure_link $arg_md5,$arg_expires;
        # 这里定义用于生成签名的密钥，必须与生成端保持一致
        secure_link_md5 "$secure_link_expires$uri$remote_addr your_secret_key";

        # 如果验证失败（签名错误或过期）
        if ($secure_link = "") {
            return 403;
        }
        # 如果链接已过期
        if ($secure_link = "0") {
            return 410; # Gone，资源已过期
        }

        # 验证通过，正常提供资源
        alias /path/to/your/protected/files/;
    }
}

配置解析：

  1. secure_link $arg_md5,$arg_expires;：告诉Nginx从URL参数中获取MD5签名（md5）和过期时间戳（expires）。
  2. secure_link_md5 “...”;：定义生成签名的规则。这里的公式是：过期时间戳 + 请求URI + 客户端IP + 密钥。这个顺序必须和生成签名的代码完全一致。$remote_addr的加入使得链接与IP绑定，更安全。
  3. 验证逻辑：先检查签名，再检查是否过期。

步骤2: 后端生成签名链接（示例：PHP）

<?php
// 定义密钥，与Nginx配置中的`your_secret_key`一致
$secret = ‘your_secret_key’;
// 定义文件路径（相对于/protected/的路径）
$file = ‘/confidential.pdf’;
// 设置链接过期时间（例如10分钟后）
$expires = time() + 600;
// 获取用户IP（在真实环境中需要可靠地获取）
$ip = $_SERVER[‘REMOTE_ADDR’];

// 按照Nginx中定义的规则生成签名字符串
$signatureString = $expires . $file . $ip . $secret;
// 生成MD5哈希值，并做base64编码和URL安全处理
$md5 = base64_encode(md5($signatureString, true));
$md5 = strtr($md5, ‘+/’, ‘-_’);
$md5 = rtrim($md5, ‘=’);

// 生成最终的受保护链接
$protectedUrl = “https://www.yourdomain.com/protected” . $file . “?md5=” . $md5 . “&expires=” . $expires;

echo “您的安全下载链接是：” . $protectedUrl;
echo “<br>此链接10分钟后失效，且仅限当前IP使用。”;
?>

流程说明：用户请求你的PHP页面，PHP根据当前时间、文件路径、用户IP和密钥，动态生成一个带有时效和签名的链接。用户点击这个链接访问Nginx，Nginx使用相同的逻辑进行验证，只有完全匹配才允许下载。

四、关联技术与扩展思路

在实际生产环境中，防盗链往往不是孤立存在的，它需要与其他技术协同工作。

1. 结合日志分析： Nginx的访问日志可以记录$http_referer变量。定期分析日志，能帮助你发现valid_referers规则之外的合法或高频盗链源，以便及时更新白名单或采取其他措施。

log_format main ‘$remote_addr - $remote_user [$time_local] “$request” ‘
                ‘$status $body_bytes_sent “$http_referer” “$http_user_agent”’;

2. 与CDN配合： 如果你使用了CDN（如阿里云CDN、腾讯云CDN、Cloudflare），需要注意防盗链的配置层级。通常有两种做法：

  • 在CDN控制台配置：这是推荐的主流做法。CDN边缘节点直接进行Referer或签名验证，非法请求根本不会回源到你的Nginx服务器，极大地减轻了源站压力。你需要根据CDN服务商提供的文档进行配置。
  • 在源站Nginx配置：CDN将所有请求（包含Referer头）透传给源站，由源站Nginx做最终裁决。这种方式增加了源站负载，但规则统一。

3. 使用 map 指令优化管理： 当白名单域名很多时，可以使用map指令使配置更清晰、易于管理。

# 在http上下文中定义map
http {
    map $http_referer $is_valid_referer {
        default 0;
        “~*.yourdomain.com” 1;
        “~*.trusted-partner.com” 1;
        “~*\.(google|bing|baidu)\.” 1;
        “” 1; # 允许空Referer
    }

    server {
        location ~ \.(jpg|png)$ {
            if ($is_valid_referer = 0) {
                return 403;
            }
        }
    }
}

五、应用场景与优缺点分析

应用场景：

  1. 媒体内容站：保护图片、视频、音频资源，防止被其他网站直接嵌入使用。
  2. 软件/文档下载站：确保下载链接仅在自己的页面内有效，防止被分享到论坛、博客直接下载。
  3. 付费墙内容：结合secure_link，为付费用户生成有时效性、可撤销的下载链接。
  4. API接口防护：简单防护来自非预期前端的API调用（但API安全更应使用API密钥、OAuth等）。

技术优缺点：

  • valid_referers 优点：
    • 配置简单，无需修改应用代码。
    • 内置于Nginx，开箱即用。
    • 对搜索引擎友好（可通过规则允许）。
  • valid_referers 缺点：
    • Referer头可被伪造，安全性较低。
    • 用户浏览器可能禁用Referer发送，导致合法用户被误拦（需合理使用none和blocked参数）。
    • 无法应对通过程序（如curl、wget）直接发起的、不携带Referer的盗链。
  • secure_link 优点：
    • 安全性高，链接经过加密签名，难以伪造。
    • 可控制链接有效期和绑定特定IP。
    • 非常适合动态、高价值资源的保护。
  • secure_link 缺点：
    • 配置相对复杂，需要前后端配合。
    • 生成链接有额外开销。
    • 改变了资源的访问URL形式。

六、注意事项与总结

重要注意事项：

  1. 测试！测试！测试！：上线前务必全面测试。确保搜索引擎爬虫、你的主站、子域名、移动端APP（如果涉及）都能正常访问资源。误拦正常流量比盗链更糟糕。
  2. 允许空Referer：务必考虑none和blocked场景。用户从收藏夹、邮件客户端、或某些安全软件保护下打开链接时，Referer可能为空或被标记，合理的配置能避免误伤。
  3. CDN缓存：如果你在源站配置了防盗链（如返回403或重写图片），并且使用了CDN，要小心CDN缓存403响应或“警告图片”。你需要为这些响应设置合适的缓存头（如Cache-Control: no-cache），或在CDN上配置不缓存特定状态码。
  4. 不是银弹：防盗链是资源保护的一环，但不能替代其他安全措施。对于极其敏感的数据，应考虑身份认证、权限控制、数字水印等多层防护。
  5. 法律与合规：防盗链是技术手段，对于恶意盗用，必要时需结合法律途径解决。

总结： 保护网站资源是一场持续的攻防战。Nginx为我们提供了从基础到高级的多种防盗链武器。对于绝大多数公开资源，基于Referer检查的valid_referers指令足以应对，关键在于精细地设置白名单。而对于核心资产、付费内容或需要精准控制的场景，基于签名的secure_link模块则提供了坚盾。理解其原理，结合自身业务场景，并注意与CDN、日志系统等周边组件的协作，你就能构建起一道有效的资源防线，让服务器流量只服务于真正的用户，将“盗链者”拒之门外。记住，安全与用户体验的平衡，是配置过程中永恒的课题。