书签访问时浏览器不发送referer，nginx将其识别为none；必须在valid_referers中显式包含none，否则合法请求被误拦，且需配合if判断$invalid_referer执行return 403等动作。
直接通过书签访问时，浏览器通常不会发送 Referer 请求头，此时请求的 Referer 字段为空（即缺失），Nginx 将其识别为 none 类型。要允许这类访问，必须在 valid_referers 指令中显式包含 none，否则会被判定为非法并触发 $invalid_referer = 1。
为什么书签访问属于 “none” 场景
用户点击收藏夹里的图片链接、或在新标签页中粘贴静态资源 URL（如 https://cdn.example.com/logo.png）时，HTTP 请求头里压根不带 Referer 字段。这不是错误，而是浏览器标准行为。Nginx 的 valid_referers none 就是专为这种“无 Referer”的合法场景设计的。
配置中必须写上 none，不能省略
常见误操作是只写域名白名单，比如：
✘ 错误示例（书签访问会被 403 拦截）：valid_referers *.example.com example.com;
正确做法是始终把 none 放在最前面或显式列出：
✔ 正确示例（兼容书签、直输、HTTPS→HTTP 跳转等）：valid_referers none blocked *.example.com example.com;-
valid_referers none ~\.example\.(com|org)$;（配合正则时也需保留 none）
搭配 if 判断才能真正放行
仅写 valid_referers none ... 不会自动放行——它只是设置 $invalid_referer 变量。你必须紧接着用 if 判断并明确放行逻辑：
- 若想拦截非法请求，写：
if ($invalid_referer) { return 403; } - 若想对非法请求返回默认图，写：
if ($invalid_referer) { rewrite ^(.*)$ /static/forbidden.png break; } - 注意：if 必须放在匹配静态资源的 location 块内（如
location ~* \.(png|jpg|gif)$），不能放在 http 或 server 顶层
其他容易被当成“书签访问”的真实情况
除了收藏夹点击，以下行为同样触发 none，也依赖该配置才能正常加载：
- 用户在地址栏手动输入图片 URL 并回车
- PWA 离线页面加载缓存中的静态资源
- HTTPS 页面中嵌入 HTTP 协议的图片（浏览器主动清空 Referer）
- 某些邮件客户端预览 HTML 邮件时加载外链图片
