phpEnv配置Nginx根据来源域名防盗链 phpEnv资源保护-php教程-PHP中文网

nginx 的 valid_referers 配合 if + return 403 是最轻量、最可控的防盗链方案，php 层无法拦截静态资源请求，因其默认由 nginx 直接响应，不经过 php-fpm。

phpenv配置nginx根据来源域名防盗链 phpenv资源保护

直接说结论：Nginx 的 valid_referers 配合 if + return 403 是最轻量、最可控的防盗链方案，PHP 层无法拦截静态资源请求，别在 PHP 里做 Referer 判断。

为什么不能用 PHP 做防盗链？

phpEnv 中所有以 .jpg、.png、.js、.css 等结尾的静态资源，默认由 Nginx 直接响应，根本不会经过 PHP-FPM。你在 index.php 里写 $_SERVER['HTTP_REFERER'] 判断，对图片请求完全无效。

PHP 只处理 .php 后缀或显式被 fastcgi_pass 转发的请求
防盗链必须在 Web 服务器层（Nginx）拦截，且越早越好
用 PHP 重定向或输出空内容，既增加延迟，又暴露资源真实路径

Nginx 配置 valid_referers 的实操要点

在 phpEnv 的 Nginx 配置中（通常是 /phpenv/nginx/conf/vhost/your-site.conf），针对静态资源 location 块添加防盗链逻辑：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

location ~* \.(jpg|jpeg|png|gif|webp|js|css|woff2|ttf|svg)$ {
    valid_referers none blocked server_names
        *.yourdomain.com
        yourdomain.com;
    if ($invalid_referer) {
        return 403;
        # 或 return 444; （更静默，不发响应头）
    }
}

关键说明：

none 允许无 Referer 请求（比如直接访问、书签打开）
blocked 允许 Referer 被浏览器隐私策略屏蔽（如 Firefox 的 strict-origin-when-cross-origin）
域名必须写全，yourdomain.com 和 www.yourdomain.com 视为不同来源，需都列上
通配符只支持 *.example.com，不支持 example.* 或路径匹配
避免滥用 if：仅限于 $invalid_referer 这类内置变量，安全且高效

测试与常见失效原因

配置后务必验证，否则容易“以为防住了，其实没生效”：

用 curl 模拟盗链：curl -H "Referer: https://evil.com" https://yourdomain.com/test.jpg 应返回 403
本地双击 HTML 文件打开（file:// 协议）会触发 none，但部分浏览器（Chrome 88+）会设为空 Referer 并归入 blocked，建议加 none blocked 双保险
CDN 或反向代理（如 Cloudflare）可能清空或伪造 Referer，此时需在 CDN 后端开启 “Forward Origin Referer” 或改用 Token 防盗链
HTTPS 页面引用 HTTP 图片会因混合内容被浏览器屏蔽 Referer，导致误判——确保全站 HTTPS 且资源协议一致

真正难的是跨域协作场景：比如你提供 SDK 给第三方嵌入，既要放行他们的域名，又要防他们二次分发。这时 valid_referers 就不够用了，得配合 Nginx 的 map 指令做动态白名单，或者换用时间戳+签名方式。但对绝大多数 phpEnv 个人站或小项目，上面三步已覆盖 95% 的盗链风险。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！