apache可通过mod_rewrite或setenvifnocase+filesmatch限制referer访问，适用于防盗链等轻量防护，但referer头不可靠，不可用于安全敏感场景。
Apache 可以通过 mod_rewrite 模块或 SetEnvIfNoCase + FilesMatch 两种主流方式限制特定 Referer 的访问，适用于防盗链、页面跳转控制等轻量级防护场景。关键在于明确目标：是只允许某几个来源（白名单），还是禁止某些来源（黑名单），同时必须正视 Referer 头的不可靠性——它可被浏览器策略清空、也可被任意伪造，因此不能用于安全敏感逻辑。
用 mod_rewrite 实现 Referer 白名单
适合限制某个路径（如后台首页、资源目录）仅能从指定域名跳转访问：
- 确保
mod_rewrite已启用：sudo a2enmod rewrite && sudo systemctl restart apache2 - 在站点根目录的
.htaccess或虚拟主机配置中添加规则（注意放在最前）：
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?yourdomain\.com [NC]
RewriteCond %{HTTP_REFERER} !^$
RewriteRule ^dashboard/ - [F]
说明：
• 第二行匹配合法 Referer（支持 http/https 和可选 www）；
• 第三行允许空 Referer（比如用户直接在地址栏输入 URL），避免误拦；
• ^dashboard/ 表示拦截该路径下所有请求；[F] 返回 403。
用 SetEnvIfNoCase + FilesMatch 做资源级防盗链
更适合保护图片、PDF、ZIP 等静态文件，不依赖 .htaccess，推荐写在虚拟主机配置中：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 在
<directory></directory>块内定义 Referer 白名单环境变量：
SetEnvIfNoCase Referer "^$" local_ref
SetEnvIfNoCase Referer "https?://(www\.)?yourdomain\.com" local_ref
SetEnvIfNoCase Referer "https?://trusted-partner\.net" local_ref
Require env local_ref
说明：
• ^$ 显式允许空 Referer，否则直接访问链接会失败；
• Require env local_ref 替代旧式 Order Allow,Deny（Apache 2.4+ 推荐语法）；
• 多个 SetEnvIfNoCase 行可叠加白名单域名。
禁止特定 Referer（黑名单）
当需要屏蔽已知恶意或竞品站点时使用：
- 同样用
mod_rewrite，但条件改为匹配而非排除：
RewriteCond %{HTTP_REFERER} ^https?://(www\.)?bad-site\.com [NC,OR]
RewriteCond %{HTTP_REFERER} ^https?://.*\.evil-domain\.org [NC]
RewriteRule ^ - [F]
说明：
• [OR] 连接多个条件，任一命中即拦截；
• 正则中 .*\.evil-domain\.org 支持子域名泛匹配；
• 注意避免误伤：比如 example.com 和 malicious-example.com 可能被同一规则误判。
必须检查的部署细节
规则写完不等于生效，以下四点常被忽略：
-
协议与主机一致性：若站点已全站 HTTPS，Referer 规则里必须写
https://，否则合法请求也会 403 -
空 Referer 处理：隐私模式、Referrer-Policy: no-referrer、Curl 测试默认无 Referer——不加
!^$或^$条件会导致大量误拒 -
路径匹配精度：用
^dashboard/index\.html$是精确匹配；用^dashboard/是前缀匹配；别漏掉转义点号（\.） -
配置生效位置：.htaccess 需开启
AllowOverride All；虚拟主机配置需在<virtualhost></virtualhost>内且重载服务：sudo systemctl reload apache2
