最有效方案是使用 cross-origin-resource-policy: same-origin 响应头，现代浏览器会静默拦截跨站 css 加载；需配合 referer 检查兜底旧浏览器，并清除缓存确保新策略生效。
样式文件被跨站引用怎么办
直接用 Cross-Origin-Resource-Policy 响应头最有效。现代浏览器（Chrome 96+、Firefox 95+）会据此拒绝非同源页面加载你的 .css 文件，连 <link rel="stylesheet"> 都会被拦截，不发请求、不执行、不报错——静默失败，防盗效果干净利落。
常见错误是只设 Cross-Origin-Resource-Policy: same-origin 却没确认服务器实际返回了它。用浏览器开发者工具的 Network 面板点开 CSS 请求，检查 Response Headers 里是否有这一项；Nginx 配置要加在 location ~ \.css$ 块里，Apache 则需在 .htaccess 或虚拟主机配置中用 Header set 指令。
-
Cross-Origin-Resource-Policy: same-site允许同站点（如 a.example.com 引用 b.example.com）但禁止跨域，适用子域名多的场景 - 别和
CORS头混淆：Access-Control-Allow-Origin是“允许谁来拿”，而CORP是“不允许谁来拿”，二者逻辑相反，不要同时设 - 旧浏览器（如 IE、Safari 15.4 之前）不支持 CORP，此时需配合其他手段兜底
Referer 检查能拦住大部分盗链
靠 Referer 请求头做服务端拦截，简单直接，兼容性好。但注意：它可被客户端伪造，仅防小白或爬虫批量扒样式，不能替代 CORP。
典型误用是只匹配完整域名，结果 https://example.com/page 和 http://example.com/ 被当成不同来源。更稳妥的做法是提取 Referer 的 host 部分，再白名单比对：
if ($http_referer ~* ^https?://(www\.)?yourdomain\.com) {
# 正常提供 CSS
} else {
return 403;
}
- 空 Referer（如直接访问 CSS 地址、某些隐私模式）默认被拒绝，需显式放行：
if ($http_referer = "") { allow; } - CDN 或代理后端可能清空 Referer，此时要检查
X-Forwarded-For和X-Real-IP是否可靠，别盲目信任 - 移动端 WebView 或 PWA 可能不带 Referer，若你有这类合法调用，得单独识别 User-Agent 或加 token 参数
用 Subresource Integrity（SRI）反向约束调用方
SRI 本身不防盗，但它让盗用者无法随意改写你的样式链接——一旦他们把 <link> 中的 integrity 属性删掉或填错哈希，浏览器就拒绝加载。这提高了盗用门槛，尤其对想照搬整站结构的仿站者很有效。
生成 SRI 哈希很简单：curl -s https://yoursite.com/style.css | openssl dgst -sha384 -binary | openssl base64 -A，结果填进标签：
<link rel="stylesheet" href="https://yoursite.com/style.css" integrity="sha384-..." crossorigin="anonymous">
-
crossorigin="anonymous"必须加上，否则浏览器不校验 SRI，且会忽略 CORS 策略导致跨域请求失败 - 样式文件内容一变，哈希就失效，所以只适合版本化部署（如
/style.v2.css），不适用于动态生成的 CSS - 如果用了 HTTP/2 Server Push 推送 CSS，SRI 无效，因为推送不走 HTML 解析流程
关键点：CORP + Referer 是组合拳，不是二选一
CORP 拦住新浏览器，Referer 拦住老浏览器和简单爬虫，两者叠加才覆盖主流场景。最容易被忽略的是缓存策略：CDN 或浏览器缓存了未带 CORP 头的老版 CSS，盗链仍能持续生效数小时甚至数天。
上线防盗策略后，务必做三件事：
- 清除所有 CDN 缓存，尤其是 CSS 路径对应的缓存键（比如 Vary 头是否包含 Origin 或 Referer）
- 本地用隐身窗口测试，禁用缓存（DevTools → Network → Disable cache），确认新头已生效
- 检查你的构建工具（如 Webpack、Vite）是否把 CSS 打包进了 HTML 内联，这种情况下防盗链完全无效——得把样式外链化
防盗不是一劳永逸的事，只要样式文件还能被 HTTP 访问，就存在被解析、复制、重写的可能。真正难防的是人肉抄代码，技术手段只管自动引用和批量盗链。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
