问题：nginx valid_referers配置无效，如何正确校验资源来源？

Question

在使用 Nginx 进行防盗链配置时，很多开发者发现配置了 valid_referers 指令后仍然无法有效校验资源请求来源，导致静态资源被非法盗用。问题通常出在 Referer 头的传递机制、浏览器行为或配置方式上。例如，某些浏览器或客户端可能不携带 Referer 头，或者配置中未正确处理空值与非法值。为确保 valid_referers 生效，需结合 if 判断进行拦截，并注意域名书写规范、协议差异及 CDN 等代理层的影响。此外，建议配合日志分析确认实际请求来源，辅助调试配置有效性。

Answer 1

一、Nginx 防盗链配置中的常见问题

在使用 Nginx 的 valid_referers 指令进行防盗链配置时，许多开发者会遇到配置看似正确但实际无效的情况。主要原因包括 Referer 头的传递机制不一致、浏览器行为差异以及配置方式存在疏漏。

• Referer 头缺失：某些客户端（如部分浏览器插件或移动端应用）可能不会发送 Referer 头。
• 空值与非法值处理不当：未对空 Referer 或非法域名做拦截处理。
• 域名书写规范问题：例如是否带 www、是否区分大小写等。
• 协议差异影响匹配：HTTP 与 HTTPS 请求可能导致域名不匹配。
• CDN 或代理层干扰：请求经过 CDN 或反向代理后，原始 Referer 被覆盖。

二、深入分析：为什么 valid_referers 看似失效？

Nginx 中的 valid_referers 是一个设置变量的指令，它本身并不直接阻止请求，而是将合法的 Referer 标记为“有效”，需要配合 if 判断来执行拦截逻辑。

location ~ \.(jpg|png|gif)$ {
    valid_referers none blocked example.com *.example.com;
    if ($invalid_referer) {
        return 403;
    }
}
    

上述配置中，valid_referers 定义了允许访问的来源，而 if ($invalid_referer) 才是真正执行拦截的部分。

三、典型问题排查流程图

graph TD
            A[开始] --> B{请求携带 Referer 吗?}
            B -- 是 --> C{Referer 是否合法?}
            C -- 合法 --> D[允许访问]
            C -- 不合法 --> E[返回 403]
            B -- 否 --> F{是否允许空 Referer?}
            F -- 允许 --> D
            F -- 不允许 --> E

四、解决方案与最佳实践

为确保防盗链配置生效，应遵循以下几点建议：

1. 始终结合 if ($invalid_referer) 进行响应控制。
2. 合理使用 none 和 blocked 参数，应对空 Referer 和被屏蔽客户端。
3. 注意域名格式统一，如是否带 www、是否使用通配符。
4. 测试 HTTPS 与 HTTP 下的 Referer 行为差异。
5. 若使用 CDN，需检查其是否转发原始 Referer，必要时通过自定义头传递。
6. 启用日志记录并分析 Referer 字段，确认实际请求来源。

五、日志分析辅助调试

可通过如下日志格式输出 Referer 信息：

log_format custom '$remote_addr - $remote_user [$time_local] "$request" '
                  '$status $body_bytes_sent "$http_referer" '
                  '"$http_user_agent"';

access_log /var/log/nginx/access.log custom;
    

字段名	说明
$http_referer	记录请求来源页面的 URL
$request	记录客户端的 HTTP 请求行
$status	响应状态码