可通过Nginx的geo模块或geoip2模块识别并拦截特定地区来源的静态资源访问：前者手动配置CIDR IP段，后者结合GeoLite2数据库自动识别国家代码，均在location中用if判断后返回403，并建议记录拦截日志。
可以通过 Nginx 的 geo 模块配合 IP 地址库（如 GeoIP2 或纯 IP 段规则），在请求处理早期阶段识别并拦截特定地区来源的静态资源访问。
准备地区 IP 段数据
获取目标地区的 CIDR 格式 IP 段列表（例如中国、俄罗斯、伊朗等国家/地区的公开 IP 段），可从以下渠道整理：
- APNIC、ARIN 等 RIR 官方分配数据（需解析和筛选）
- 第三方维护的开源 IP 库（如 ipipdotnet/ipdb、hilbix/ipv46）
- 商业 GeoIP 服务（MaxMind GeoLite2，推荐用于生产环境）
若使用 MaxMind，需下载 GeoLite2-Country.mmdb 并配置 ngx_http_geoip2_module；若仅需粗粒度拦截，也可用 geo 指令手动定义 IP 段。
使用 geo 指令定义地区标识变量
在 http 块中定义一个映射变量（如 $blocked_region），将目标 IP 段标记为 1：
geo $blocked_region {
default 0;
// 示例：拦截中国部分常见出口段（实际请使用完整、更新的段）
1.0.1.0/24 1;
1.0.2.0/23 1;
27.0.0.0/8 1;
112.0.0.0/8 1;
202.0.0.0/8 1;
// 可继续添加其他段...
}
注意：geo 不支持嵌套或正则，仅匹配 CIDR；大范围段建议合并（如用 27.0.0.0/5 替代多个 /8），减少指令行数。
在 location 中拦截静态资源请求
针对 /static/、/img/、.js、.css 等静态路径，在对应 location 块中加入拒绝逻辑：
location ~* \.(js|css|png|jpg|jpeg|gif|ico|svg|woff2?|ttf|eot)$ {
if ($blocked_region) {
return 403;
}
expires 1y;
add_header Cache-Control "public, immutable";
}
说明：
- 使用
if判断需谨慎，仅限简单变量比较（$blocked_region是安全的） - 优先于
try_files或后端代理执行，确保未产生磁盘读取或上游转发即终止 - 搭配
expires和缓存头，不影响正常用户访问体验
使用 GeoIP2 实现更精准的国家/地区识别（推荐）
安装 ngx_http_geoip2_module 后，在 http 块中加载数据库并提取国家代码：
load_module modules/ngx_http_geoip2_module.so;
<p>http {
geoip2 /usr/share/GeoIP/GeoLite2-Country.mmdb {
$geoip2_data_country_code country iso_code;
}</p><p>map $geoip2_data_country_code $blocked_country {
default 0;
CN 1; // 拦截中国
RU 1; // 拦截俄罗斯
IR 1; // 拦截伊朗
}</p><p>server {
location ~* .(js|css|webp|avif|font)$ {
if ($blocked_country) {
return 403;
}
...
}
}
}</p>
优势：
- 无需手动维护 IP 段，自动适配 IP 分配变更
- 支持城市、ASN、时区等更多维度（需对应数据库）
- 避免因 IP 段重叠或遗漏导致误放/误拦
注意：确保 mmdb 文件权限正确，Nginx 主进程可读；定期更新数据库（建议每月 cron 自动下载）。
不复杂但容易忽略的是日志记录——可在拦截前加 access_log /var/log/nginx/blocked_static.log blocked; 并定义 log_format blocked '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$geoip2_data_country_code"';，便于后续分析拦截效果与误伤情况。
