宝塔面板防盗链功能因valid_referers指令错误置于server块顶层而失效，须手动将其放入location块并添加none、blocked及正确域名；cdn、微信、vue router等场景需保留none且配置referer透传。
宝塔面板自带的防盗链功能能用，但默认配置位置和参数极易出错——直接点「启用」后图片大面积 403，大概率不是规则写错了，而是它被面板重载时覆盖了，或匹配逻辑没覆盖到你的实际请求场景。
为什么在「网站 → 防盗链」里勾选启用后图片全挂
宝塔图形界面生成的防盗链规则，会插入到 Nginx 配置文件的 server 块顶层（即 #REWRITE-END 后面），但 valid_referers 指令**不允许在 server 级直接使用**，必须包裹在 location 块内。面板自动生成的代码实际是无效的，Nginx 启动时会忽略它，或报 warning 导致后续规则失效。
- 检查
/www/server/panel/vhost/nginx/你的域名.conf，搜索valid_referers，如果它出现在server { ... }顶层而非某个location ~* \.(jpg|png) { ... }内部，就是这个原因 - 即使没报错，也常因作用域错位导致匹配不生效：比如你保护
.mp4，但规则只写在location /下，而视频实际由location /video/处理，那就完全不触发 - 图形界面填的「许可域名」会被转成
valid_referers的值，但不会自动加none—— 微信、PWA、地址栏直输等空 Referer 场景全部被拒
如何正确使用宝塔的 Nginx 配置模板手动加固
别依赖图形界面「保存」按钮，直接编辑配置文件，把规则塞进正确的 location 块里：
- 打开
/www/server/panel/vhost/nginx/你的域名.conf - 找到已存在的静态资源
location块，例如：location ~* \.(jpg|jpeg|png|gif|webp|js|css|mp4|m3u8|ts)$；如果没有，就在server块末尾、#SSL-END或#REWRITE-END下方新增一个 - 在该
location块内部，插入以下三行（顺序不能错）：valid_referers none blocked *.yourdomain.com yourdomain.com;<br>if ($invalid_referer) {<br> return 403;<br>} -
none必须显式写上，否则空 Referer 全拦截；blocked用于过滤伪造或被浏览器策略清空的 Referer - 域名写法注意：
yourdomain.com不包含子域，*.yourdomain.com才匹配所有子域；不要写https://或路径，只写域名本身
CDN、Vue Router、微信内嵌等常见场景怎么调参
这些场景下 Referer 行为和普通网页完全不同，硬套默认白名单必挂：
- 用了 Cloudflare / 又拍云等 CDN：CDN 默认会清空 Referer，需在 CDN 后台开启「Preserve Origin Headers」或「Pass Referer」；同时宝塔规则里必须保留
none，否则回源请求全 403 - Vue Router history 模式或 React Router：前端路由跳转不刷新页面，部分浏览器发起资源请求时 Referer 为空，
none是刚需 - 微信内置浏览器：从公众号文章点开，Referer 是空的，且微信不发 Origin 头，不加
none就裂图 - 苹果CMS、DPlayer 等播放器：用 fetch 加载
.m3u8或.ts时，跨域请求默认不带 Referer，规则里必须含none，且 URL 后缀要明确加上m3u8,ts - 本地开发用
file://协议测试？别信——浏览器禁止发送 Referer，这不属于线上问题，关掉再测
改完配置后验证是否真生效
别只刷自己首页看图还在不在，那只是验证「自己站内引用」，真正要测的是外站引用和边界场景：
- 新建一个本地 HTML 文件，写
<img src="https://yourdomain.com/test.jpg?x-oss-process=image/resize,p_40">，用 Chrome 打开，看是否加载成功（Referer 是file://，应被拦） - 用另一台服务器起个简单 HTTP 服务，放一个 HTML 引用你的图片，访问它，看是否 403（Referer 是那个服务器域名，应被拦）
- 在浏览器地址栏直接输入图片 URL 回车，应能显示（空 Referer，靠
none放行） - 打开 Chrome DevTools → Network → 刷新页面，点一张图，看 Header 里的
Referrer值（注意拼写是 Referrer），对比你规则里写的域名是否完全匹配（协议、端口、斜杠都算） - 如果返回 403，但不确定是不是防盗链导致：临时把
if ($invalid_referer) { return 403; }改成add_header X-Debug-Referer "$invalid_referer";，然后看响应头里X-Debug-Referer是1还是0
最易被忽略的其实是 Referer 的完整性和大小写敏感性：Nginx 的 valid_referers 匹配的是整个 Referer 字符串，https://A.COM/ 和 https://a.com 是两个不同值，通配符 *.a.com 也不匹配 https://a.com:8080 —— 端口不一致就匹配失败。别假设“写了主域就万事大吉”。
