minio 无法直接防盗链，必须由 go 微服务生成短时效 presigned url 并配合 nginx 校验 referer 或 token；bucket policy 对浏览器直连无效，http 层拦截才是关键。
MinIO 本身不处理 HTTP Referer 或 Token 验证这类 Web 层逻辑，直接在 Go 微服务里“加个中间件就防盗链”是行不通的。真正能落地的方案，是让 Go 服务生成带时效和权限控制的 Presigned URL，再配合 Nginx 反向代理做 Referer 检查或 Token 校验——两层配合才可靠。
为什么不能只靠 Go SDK 做防盗链？
Go 的 minio-go SDK 提供了 PresignV4、GetPresignedObjectURL 等函数，但它们只负责生成临时可访问链接，不拦截请求、不校验 Referer、也不拒绝空 Referer 或非法域名。如果你把 MinIO 地址直接暴露给前端，哪怕用了预签名，只要 URL 泄露（比如被截图、抓包、日志误打），别人就能白嫖流量。
常见错误现象：
- 前端直接渲染
https://minio.example.com/bucket/photo.jpg—— 这等于裸奔 - 用
client.PresignV4生成 7 天有效期的 URL，结果被爬虫扫走反复刷 - 以为在 Go 里写个
if r.Referer() != "mysite.com"就能拦住盗链，但 MinIO 不经过你的 Go 服务，根本不会触发这段代码
必须用 Presigned URL + 有限有效期
Go 微服务的职责不是“挡请求”，而是“发安全门票”。每次前端要加载图片，先调你的 API 接口，你用 minio-go 动态生成一个短时效的预签名 URL（比如 30 分钟），并绑定特定条件（如 IP、用户 ID、设备指纹等可选参数）。
示例关键代码片段：
// 生成带查询参数的预签名 URL（支持附加自定义 query）
req, _ := client.GetObjectRequest(context.Background(), "assets", "logo.png", minio.GetObjectOptions{})
req.URL.Path = "/assets/logo.png"
// 注意：v4 签名默认不包含 query 参数，需手动拼接
u, _ := req.Presign(30 * time.Minute)
// u.String() 返回类似 https://minio.example.com/assets/logo.png?X-Amz-Expires=1800&X-Amz-Signature=xxx
要点：
-
X-Amz-Expires必须设得短（建议 ≤ 60 分钟），避免 URL 被长期复用 - 不要在 URL 中暴露敏感路径（如用户私有 bucket 名），统一走 public bucket + 前缀隔离
- 如果需要更强绑定，可在签名前对 object key 做哈希混淆，或用
minio.PutObjectOptions设置 server-side encryption（但不解决盗链）
Nginx 必须兜底校验 Referer 或 Token
MinIO 前面一定要挂 Nginx（或 Caddy），否则所有防盗链策略都是纸老虎。Nginx 的作用是：在请求到达 MinIO 之前，检查 Referer 是否合法，或验证请求中是否携带有效 Token。
典型配置片段（/etc/nginx/conf.d/minio.conf）：
location /assets/ {
proxy_pass http://minio:9000;
proxy_set_header Host $host;
# 拦截空 Referer 和非白名单域名
if ($http_referer !~ "^https?://(www\.)?mysite\.com") {
return 403;
}
# 可选：验证自定义 header（如 X-Auth-Token）
if ($http_x_auth_token = "") {
return 403;
}
}
注意点：
- MinIO 默认不返回
Access-Control-Allow-Origin，跨域场景下要在 Nginx 加add_header Access-Control-Allow-Origin "*";（生产环境慎用 *） - 如果用了 CDN，CDN 可能会抹掉原始 Referer，此时需改用 Token 方案（如后端签发 JWT 放入 URL query，Nginx 用
auth_request模块校验） -
if在 Nginx 里性能尚可，但别嵌套多层；更健壮的做法是用map提前提取 Referer 域名再匹配
桶策略（Bucket Policy）只能作为辅助手段
MinIO 的 bucket policy 支持 aws:Referer 条件，但它只对 S3 API 请求生效（比如 SDK 直连），对浏览器直连的 HTTP GET 无效——因为浏览器发的是普通 HTTP 请求，不是带签名的 S3 REST 请求。
所以你看到的这类策略：
{
"Version": "2012-10-17",
"Statement": [{
"Effect": "Allow",
"Principal": {"AWS": ["*"]},
"Action": ["s3:GetObject"],
"Resource": ["arn:aws:s3:::assets/*"],
"Condition": {"StringLike": {"aws:Referer": ["https://mysite.com/*"]}}
}]
}
它只影响通过 minio-go、AWS CLI 等工具发起的 S3 协议请求，对 <img src="https://minio.example.com/...?x-oss-process=image/resize,p_40"> 完全不起作用。别把它当成主力防线。
真正容易被忽略的点是：很多人把 MinIO 当成 Web Server 用，忘了它本质是对象存储网关。所有“防盗链”动作，必须发生在 HTTP 层（Nginx），而不是对象协议层（MinIO）。Go 微服务只管发票，Nginx 才是检票口。
