Referer校验是Nginx网关层防御盗链和恶意调用的轻量级手段，通过valid_referers指令配置白名单并结合$invalid_referer判断，适用于静态资源防盗链，但因Referer可伪造，仅作初级过滤，需配合Token、签名等强认证构成分层防护。
Referer 校验是 Nginx 网关层防御非法跨站请求（如图片盗链、API 接口被恶意调用）最轻量、最常用的一道防线。它不依赖后端，纯靠请求头判断来源，配置简单但效果明显——前提是理解 Referer 的行为边界和常见绕过方式。
Referer 是什么？为什么能用来做校验？
Referer 是 HTTP 请求头字段，由浏览器自动携带，表示当前请求是从哪个页面发起的（即“来源页”）。比如用户在 https://a.com 页面点击一个指向 https://api.b.com/user 的链接，浏览器发请求时会带上 Referer: https://a.com/。
这个字段天然可被伪造（比如用 curl 或 Postman 手动加），所以 Referer 校验只适合做初级过滤或资源防盗链，不能替代 Token、签名、IP 白名单等强认证手段。但它能快速拦截大量自动化脚本、爬虫和低级盗链行为。
基础配置：只允许指定域名访问静态资源
典型场景：防止他人盗用你网站的图片、CSS、JS 文件。
- 在 server 或 location 块中使用
valid_referers指令定义合法来源 - 配合
if判断 Referer 不合法时返回 403 或重定向到默认图
示例配置：
location ~* \.(jpg|jpeg|png|gif|webp|css|js)$ {
valid_referers none blocked server_names
*.yourdomain.com yourdomain.com;
if ($invalid_referer) {
return 403;
# 或者：rewrite ^(.*)$ /static/forbidden.png break;
}
}
说明：
none：允许无 Referer（如直接输入 URL 访问）
blocked：允许 Referer 被防火墙/代理 stripped 的情况（即存在但协议或域名不完整）
server_names：列出所有合法域名，支持通配符
进阶配置：对 API 接口做 Referer 白名单（谨慎使用）
对 /api/ 路径做 Referer 校验需格外注意：
– 单页应用（SPA）前端路由跳转通常不刷新 Referer，可能误拦
– 移动 App、小程序、桌面客户端根本不发 Referer，会直接失败
– HTTPS 页面引用 HTTP 资源会被浏览器清空 Referer（Referrer Policy 限制）
若仍需启用，建议：
- 仅限内部管理后台类接口（如 /admin/xxx），且确认所有调用方都是同域 Web 页面
- 配合日志监控
$invalid_referer和$http_referer，观察真实流量构成 - 避免在 location /api/ 下全局校验，应细化到具体路径，例如
location /api/v1/report
示例（仅允许官网和后台域名调用报表接口）：
location /api/v1/report {
valid_referers *.yourcompany.com yourcompany.com;
if ($invalid_referer) {
access_log /var/log/nginx/referer_deny.log main;
return 403;
}
proxy_pass http://backend;
}
绕过 Referer 校验的常见方式与应对提示
攻击者很容易绕过 Referer 防御，了解这些有助于你评估风险边界：
-
curl / Postman 手动加头：
curl -H "Referer: https://yourdomain.com" https://yoursite.com/api→ 无法防御，必须配合其他鉴权 - 前端 iframe + sandbox：某些沙箱策略下 Referer 可能为空或被修改 → 浏览器行为，Nginx 无解
- HTTPS → HTTP 跳转丢失 Referer：现代浏览器默认遵循 Referrer-Policy: strict-origin-when-cross-origin，跨协议会清空 → 若后端有 HTTP 回调，需统一协议或改用其他校验方式
-
Referer 值末尾带斜杠或不带，影响匹配：Nginx 的
valid_referers默认按字符串前缀匹配，yourdomain.com可匹配https://yourdomain.com/abc，但不匹配https://sub.yourdomain.com（除非加*.yourdomain.com）
真正可靠的方案永远是分层防护：Referer 做第一道粗筛 + 接口级 Token/签名 + 请求频控 + 用户行为分析。
