加referrer-policy="no-referrer"可绕过大部分防盗链：微信小程序image组件显式声明该属性，可阻止发送referer头，避免因servicewechat.com等来源被cdn或云存储拦截；需基础库2.10.4+支持，且图片url必须为https协议。
微信小程序 image 组件加 referrer-policy="no-referrer" 就能绕过大部分防盗链
很多图片 403 报错，根本不是路径或域名配置问题，而是目标服务器启用了 Referer 防盗链。微信小程序默认会带上 servicewechat.com 这类来源信息，某些 CDN 或云存储（如腾讯云 COS、又拍云）会直接拦截。
最轻量的解法就是在 <image></image> 标签里显式声明不发 Referer：
<image src="https://cdn.example.com/photo.jpg" referrer-policy="no-referrer"></image>
注意：referrer-policy 是标准 HTML 属性，在微信小程序基础库 2.10.4+ 已完整支持；低于该版本会忽略此属性，需降级处理。
- 不要写成
referrer="no-referrer"（这是旧写法，已废弃） - 不能用在
background-image的 CSS 里——CSS 不支持该策略 - 动态绑定时要确保字符串拼接正确：
:src="`https://...?t=${Date.now()}`"后仍需保留该属性
安卓真机白屏？大概率是腾讯云 COS 或阿里云 OSS 的 Referer 白名单没配全
iOS 和安卓在微信环境下的 Referer 行为略有差异：安卓更严格，常把 servicewechat.com 拆成子域（如 gh_xxxx.servicewechat.com），而你只加了主域，导致放行失败。
去云服务商控制台检查防盗链设置，白名单必须包含：
servicewechat.com-
*.servicewechat.com（通配符，更稳妥） - 你的正式小程序 AppID 对应的域名（如有自定义业务域名）
配完别忘了「保存并生效」——有些平台需要手动点击「发布配置」，否则缓存仍走旧规则。
私有 OSS Bucket 必须用签名 URL，<image></image> 无法走 header 认证
阿里云 OSS、七牛云等若设为私有读，<image src="..."></image> 这种纯前端加载方式根本没法带 Authorization 头，唯一可行的是生成带签名的临时 URL。
签名必须含三要素：OSSAccessKeyId、Expires、Signature，例如：
https://bucket.oss-cn-hangzhou.aliyuncs.com/photo.jpg?OSSAccessKeyId=xxx&Expires=1718632000&Signature=yyy
关键点：
- 后端生成，**不能**在前端拼接签名（会暴露
AccessKeySecret） - 有效期建议设为 30–60 分钟，太长有泄露风险，太短可能导致图片加载中途失效
- 如果用了 STS 临时凭证，URL 中还需追加
security-token=xxx
代理中转和 weserv.nl 这类第三方服务，慎用在生产环境
像 https://images.weserv.nl/?url=... 这类免费图床中转服务，开发调试可以快速验证是否为防盗链问题，但上线后不推荐：
- 响应延迟高，图片加载变慢
- 服务稳定性无保障，某天挂了就全站图片失效
- 存在隐私泄露风险——你的原始图片 URL 会暴露给第三方
- 微信可能对高频调用的中转域名限流或拦截
真正可靠的方案永远是：要么让图片源站配好 Referer 白名单，要么自己搭轻量代理（Node.js + http-proxy-middleware 即可），把请求头清洗干净再转发。
最易被忽略的一点：即使加了 referrer-policy，如果图片 URL 本身是 HTTP 协议，微信小程序会直接拒绝加载——必须确保所有网络图片地址以 https:// 开头。
