应精准配置 valid_referers 白名单，覆盖合作方子域、正则匹配动态域名、包含 none 和 blocked，并为下载路径单独设置 location 规则，避免误拦漏放。
针对特定下载站点（比如合作方、镜像站、内部分发平台）放行 Referer 请求，核心是让 valid_referers 精准识别这些来源，并避免误拦或漏放。这不是简单加几个域名，而是要兼顾匹配逻辑、协议兼容性、空 Referer 场景和后续响应策略。
明确白名单范围，支持多种匹配方式
下载站点常有以下特征：使用子域（如 dl.partner.com）、带路径参数（download.example.net/?src=client）、或通过 HTTPS 调用 HTTP 资源导致 Referer 被清空。配置时需覆盖这些情况：
- 显式列出主域名和常用子域：
partner-download.com *.partner-download.com - 用正则匹配动态二级域或端口：
~^https?://(dl|mirror)\.example\.org(:[0-9]+)?$ - 必须包含
none—— 下载工具（如 wget、aria2）默认不发 Referer；部分桌面客户端也如此 - 加上
blocked—— 防止被代理或防火墙过滤后残留无效 Referer 字符串
精准定位下载资源路径
别在全局 location 里统一处理，应单独为下载类路径设置规则，避免影响其他静态资源：
- 匹配常见下载路径前缀：
location ^~ /download/或location ~* \.(zip|rar|exe|dmg|pkg|deb)$ - 若下载链接带查询参数（如
/file?id=123&token=abc），用location /download/更可靠，避免正则误匹配 - 确保该 location 块内不继承其他拦截逻辑（如通用防盗链或 IP 限流），防止叠加冲突
配置示例与关键细节
以下是一个生产可用的下载白名单片段，放在对应 server 块内：
location ^~ /download/ {
valid_referers none blocked
partner-download.com *.partner-download.com
mirror.example.org ~^https?://dl\.[a-z0-9\-]+\.(org|net)$;
<pre class="brush:php;toolbar:false;">if ($invalid_referer) {
return 403;
}
# 可选：记录 Referer 便于审计
log_format download_log '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent"';
access_log /var/log/nginx/download_access.log download_log;}
- 正则中
~^https?://...匹配 http 或 https 开头的完整 Referer；[a-z0-9\-]+容忍不同子域命名习惯 - 没用
rewrite或重定向 —— 下载请求需保持原始 URL，否则断点续传、校验签名会失败 - 日志格式单独定义，方便从海量访问日志中快速筛选下载来源
验证与兜底建议
上线前务必用真实工具模拟测试，不能只靠 curl -e：
- 用
wget --referer="https://dl.partner-download.com/file.zip" http://yoursite.com/download/app.exe - 检查浏览器开发者工具 Network 面板中下载请求的 Referer 实际值（注意是否被 CSP 或 referrer-policy 截断）
- 对关键下载链接，可叠加
secure_link模块生成有时效和签名的 URL，Referer 白名单仅作第一道防线 - 若某合作方始终无法通过，先临时开启
log_not_found on并查 error log，确认是匹配失败还是其他拦截（如 IP 限制、SSL 协议不匹配）
