是，需启用mod_rewrite并设allowoverride all；referer规则须允许空值和本域（含端口）；仅限图片/pdf/zip等高带宽资源；用curl测试，勿依赖浏览器刷新。
直接在 .htaccess 里写 Referer 规则，不改 httpd.conf 就生效？不可能。XAMPP 默认禁用 mod_rewrite 且禁止解析 .htaccess，跳过这两步，规则就是废纸。
确认 mod_rewrite 已启用且 AllowOverride All 已设置
Apache 不执行你的 RewriteCond，大概率不是规则写错，而是根本没加载模块或拒绝读取 .htaccess。
- 打开
C:\xampp\apache\conf\httpd.conf，搜索LoadModule rewrite_module，确保这行没被注释（即前面没有#） - 再找到类似
<directory></directory>的块，在里面把AllowOverride None改成AllowOverride All - 改完必须通过 XAMPP 控制面板重启 Apache，否则所有改动都不生效
- 如果 Apache 启动失败，用命令行进
C:\xampp\apache\bin执行httpd -t检查语法错误
Referer 规则必须同时允许空值和本域（含端口）
浏览器在书签访问、微信内嵌页、HTTPS→HTTP 跳转、PWA 启动等场景下会清空 Referer；本地开发常用 http://localhost:8080，但默认规则不匹配带端口的来源——这两类都会被误拦。
XAMPP 8.0.30
下载
XAMPP 8.0.30 是一款免费、开源的跨平台 Web 服务器集成包，专为快速搭建本地 PHP 开发环境而设计。该版本核心组件包括：Apache 2.4.56、MySQL 8.0.33、PHP 8.0.30、phpMyAdmin 5.2.1 等。它支持 Windows、Linux 和 macOS 系统，可让开发者在个人电脑上轻松模拟服务器环境，无需复杂配置即可运行 WordPress、Thin
- 务必加这一行：
RewriteCond %{HTTP_REFERER} !^$，否则合法直接访问图片也会 403 - 本域匹配要覆盖协议、子域、端口：用
!^https?://(www\.)?localhost(:[0-9]+)?/ [NC]，而不是简单写localhost - 若用自定义域名（如
dev.test），RewriteCond中的域名必须和hosts文件映射 + 浏览器地址栏完全一致（大小写、端口、协议） - 不要硬写
file://白名单——现代浏览器根本不会发这个 Referer，写了也无效
只对高带宽静态资源设限，避免误伤 JS/CSS
防盗链目标是图片、PDF、ZIP 这类易被外链且消耗带宽的资源，不是所有文件。盲目扩大范围会导致本地开发时页面白屏或功能异常。
- 规则应放在资源所在目录的
.htaccess里（例如htdocs/images/.htaccess），而非根目录，避免影响 CSS/JS - 匹配扩展名时明确限定：
RewriteRule \.(jpg|jpeg|png|gif|webp|pdf|zip)$ - [F,NC] - 别加
js或css扩展名——它们常需跨域加载（如 CDN 引入），且 Referer 为空或为file://时会被拦 - 若要用占位图，路径必须避开规则匹配（比如
/images/forbidden.png不能落在受保护目录下，否则会循环请求）
测试时别只靠浏览器 F5 刷新
浏览器缓存、隐私模式、Referrer-Policy 设置会让 Referer 行为不稳定，容易误判规则是否生效。
- 用
curl模拟真实请求：curl -H "Referer: https://evil.com/page.html" http://localhost/images/test.jpg，看是否返回 403 - 检查 Apache
error.log，若有Invalid command 'RewriteEngine'，说明.htaccess文件根本没被识别（常见于 Windows 下文件名写成htaccess而非.htaccess） - 临时加一行
RewriteLog "logs/rewrite.log"（仅调试用，新版 Apache 已弃用）或观察access.log中状态码变化 - 防盗链只是流量过滤，Referer 可伪造、可清空，私密图片必须走 PHP 层鉴权或签名 URL，不能只靠它
