Nginx 怎么在防盗链规则中结合 limit_rate 限制盗链者的下载带宽消耗-Nginx-PHP中文网

nginx可通过valid_referers识别盗链并结合map指令实现“盗链即限速”：http块中定义valid_referers生成$invalid_referer，再用map将其映射为限速值（如盗链设50k、合法设0），location中通过limit_rate $盗链限速生效，配合limit_rate_after优化首段体验，并建议叠加limit_conn防多连接盗取。

nginx 怎么在防盗链规则中结合 limit_rate 限制盗链者的下载带宽消耗

Nginx 本身不支持“对盗链请求单独限速”，但可以通过逻辑组合实现：先用 valid_referers 识别盗链请求，再用 map 将其标记为低速率，最后在 location 中通过 limit_rate 引用该变量。这样既保留合法来源的正常体验，又让盗链者下载缓慢、难以实用，从而实质性降低其带宽消耗。

✅ 核心思路：用 map 实现“盗链即限速”

Nginx 的 limit_rate 不直接响应 Referer 判断，但 map 指令可基于 $invalid_referer（由 valid_referers 自动生成的布尔变量）映射限速值。这是最干净、安全且高效的做法。

http {
    # 定义防盗链白名单，并生成 $invalid_referer（1=非法，0=合法）
    valid_referers none blocked server_names *.yourdomain.com;

    # 根据是否盗链，动态设置限速值
    map $invalid_referer $盗链限速 {
        1   "50k";     # 盗链者：仅 50KB/s（约 400Kbps），基本无法流畅下载）
        0   "0";       # 合法来源：不限速（0 表示关闭限速）
    }

    server {
        location ~ \.(zip|iso|pdf|mp4|rar|dmg)$ {
            root /var/www/files;
            # 关键：启用动态限速
            limit_rate $盗链限速;
            # 可选：前 2MB 不限速，避免首屏/预览卡顿
            limit_rate_after 2m;
        }
    }
}

⚠️ 注意：valid_referers 必须放在 http 块（全局生效），map 也必须在 http 块中定义；limit_rate 和 limit_rate_after 必须写在同一 location 内，且 limit_rate_after 要在 limit_rate 之前。

?️ 进阶增强：叠加防御层级

单纯限速还不够——盗链者可能开多个连接刷带宽。建议配合以下措施：

限制每个 IP 并发下载数（防多线程盗取）

limit_conn_zone $binary_remote_addr zone=perip:10m;
limit_conn perip 2;  # 每个 IP 最多 2 个并发下载连接

对盗链返回替代内容（可选）
若你更倾向直接拦截，可在盗链时返回一张小图或提示页：
```
if ($invalid_referer) {
    return 302 https://yourdomain.com/forbidden.png;
}
```
❗注意：if 在 location 中慎用；若需返回静态资源，推荐用 error_page 403 = /forbidden.png; + rewrite 或 try_files 更稳妥。

Nginx Hosting
通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载
排除搜索引擎和空 Referer（避免误伤）
valid_referers 支持 none（直接访问）、blocked（被防火墙过滤的 Referer）、以及正则匹配。合理配置可放行百度、Google 等爬虫：
```
valid_referers none blocked
                 *.yourdomain.com
                 ~\.baidu\.
                 ~\.google\.
                 ~\.bing\.;
```

? 效果对比（典型场景）

请求来源	Referer 是否合法	下载速度	实际影响
你自己的网页	✅	不限速	正常高速下载
微信内嵌页面	✅（含 `micromsg`）	不限速	用户体验不受损
其他网站 `@@##@@`	❌	50KB/s	ZIP 下载要十几分钟，基本放弃
curl -H "Referer:"	❌（空 Referer）	50KB/s	自动化脚本效率骤降
直接浏览器输入 URL	✅（`none`）	不限速	保留真实用户直接访问能力

? 验证是否生效

用 curl 模拟盗链请求：

curl -H "Referer: https://evil-site.com" -o /dev/null -s -w '%{speed_download}\n' https://yoursite.com/file.zip

输出应明显低于 100KB/s（如 0.052 MB/s ≈ 52KB/s）。

查看 Nginx access log，确认 $invalid_referer 字段为 1，且响应时间显著拉长。
检查 nginx -t && nginx -s reload 无报错，避免因 map 语法错误导致整站限速失效。

不复杂但容易忽略：限速只作用于单连接，真正防住盗链，靠的是“慢 + 少 + 不可用”三层压制。