1
正常访问你的页面：  GET /pic.jpg    Referer: https://example.com/article.html  ✅
2
被外站盗链引用：    GET /pic.jpg    Referer: https://evil-site.com/page.html    ❌
3
直接输入地址访问：  GET /pic.jpg    （无 Referer 头）

1
server {
2
    listen 80;
3
    server_name img.example.com;
4

5
    location / {
6
        root /var/www/images;
7
    }
8
}

1
server {
2
    listen 80;
3
    server_name img.example.com;
4

5
    location / {
6
        root /var/www/images;
7

8
        # 合法的 Referer 列表：自己的域名 + 允许外链的白名单
9
        valid_referers none blocked server_names
10
                       *.example.com
11
                       example.com
12
                       ~\.google\.com$;   # 正则写法：允许 google.com 及其子域
13

14
        # $invalid_referer 是 nginx 内置变量：不匹配上面列表则为 1
15
        if ($invalid_referer) {
16
            # 方案A：直接拒绝
17
            return 403;
18

19
            # 方案B（二选一）：返回占位图，提示盗链者
20
            # rewrite ^.*$ /anti-hotlink.png break;
21
        }
22
    }
23
}

1
nginx -t                    # 先测试语法，防止配置错误导致服务挂掉
2
systemctl reload nginx      # 重载配置，不断开现有连接

1
# 模拟正常访问（带合法 Referer）→ 应返回 200
2
curl -I -e "https://example.com/page" http://img.example.com/pic.jpg
3

4
# 模拟盗链（带外站 Referer）→ 应返回 403
5
curl -I -e "https://evil-site.com" http://img.example.com/pic.jpg
6

7
# 模拟无 Referer 的直接访问 → 根据 none 配置，应返回 200
8
curl -I http://img.example.com/pic.jpg

1
# 查看图片类请求里 Referer 为外站的分布（Top 20）
2
awk '$7 ~ /\.(jpg|png|gif)/ {for(i=1;i<=NF;i++) if($i ~ /^Referer:/) print $i}' access.log \
3
  | sort | uniq -c | sort -rn | head -20
4

5
# 统计消耗带宽最大的 Referer
6
awk '{ ... }' access.log   # 思路：按 Referer 分组累加 $10(bytes 字段)