xampp防盗链需启用mod_rewrite模块、设置allowoverride all、处理空referer，并用curl验证；仅靠apache规则无法替代权限控制。
XAMPP 默认不启用防盗链，必须手动改配置并重启 Apache 才生效；漏掉 AllowOverride All 或没开 mod_rewrite 是最常见的失败原因。
确认 mod_rewrite 模块已启用
XAMPP 的 Apache 默认可能没加载重写模块。打开 C:\xampp\apache\conf\httpd.conf，搜索这行：
LoadModule rewrite_module modules/mod_rewrite.so
确保它**没被注释**（即前面没有 #）。如果被注释了，删掉 # 保存。这一步跳过会导致所有 .htaccess 中的 Rewrite* 规则完全不执行。
允许 .htaccess 覆盖规则
Apache 默认禁止目录级配置覆盖。找到类似下面这段（路径可能因 XAMPP 版本略有不同）：
<directory></directory>
在这个块内，把 AllowOverride None 改成：
AllowOverride All
否则即使你写了正确的 .htaccess，Apache 也会直接忽略它。注意：改完后必须重启 Apache（通过 XAMPP 控制面板），否则不生效。
写防盗链规则时必须处理空 Referer
现代浏览器（尤其 HTTPS 页面跳转到 HTTP、或启用了 Referrer-Policy: strict-origin-when-cross-origin）会清空 Referer 头。如果你的规则里没加这一行：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
RewriteCond %{HTTP_REFERER} !^$
那么用户从书签、微信内嵌浏览器、PWA 启动的合法访问，全都会被当成盗链拦掉。
完整可用的最小规则示例（放在 C:\xampp\htdocs\.htaccess）：
RewriteEngine On<br>RewriteCond %{HTTP_REFERER} !^$<br>RewriteCond %{HTTP_REFERER} !^https?://(www\.)?yourdomain\.com [NC]<br>RewriteRule \.(jpg|jpeg|png|gif|webp)$ - [F]
-
yourdomain\.com必须替换成你实际的域名，点号要加反斜杠转义 -
[F]返回 403；想返回占位图，最后一行改成：RewriteRule \.(jpg|jpeg|png|gif|webp)$ /images/forbidden.png [R,L]，并确保该图片存在且可公开访问 - 不要只写
yourdomain.com，要带https?://和(www\.)?，否则https://yourdomain.com和http://www.yourdomain.com都可能被误拒
测试别只靠浏览器 F5 刷新
浏览器缓存和 Referer 行为不稳定，容易误判规则是否生效。用 curl 模拟更可靠：
curl -H "Referer: https://evil-site.com" http://localhost/test.jpg
应该返回 403；再试空 Referer：
curl -H "Referer:" http://localhost/test.jpg
应该能正常返回图片。这两步都通过，才算真正跑通。
Referer 可伪造、可为空，防盗链只是第一道轻量过滤，不是权限控制。真要防下载或保护敏感资源，得配合签名 URL、登录态校验或 CDN 鉴权，单靠 Apache 规则撑不住。
