valid_referers 主要用于限制允许访问图片资源的来源网站，防止盗链；需配合 if 和 return（或 rewrite）生效，支持 none、域名、通配符、正则等多种匹配方式，并注意 referer 可伪造及 https 环境下丢失等问题。
图片防盗链用 valid_referers 主要是限制哪些来源网站能直接访问你的图片资源，防止被其他站点盗用流量。它本身不拦截请求，必须配合 if 和 return（或 rewrite）才能生效。
基本语法和常用写法
valid_referers 用来定义合法的 Referer 值，支持多种匹配方式：
-
空 Referer（直接访问）：用
none表示，比如用户在浏览器地址栏直接输入图片 URL -
指定域名：如
example.com，自动匹配http://example.com和https://example.com -
带通配符的域名：如
*.example.com匹配所有子域 -
正则表达式：用
~开头，如~\.google\.匹配包含 google. 的 Referer -
多个值用空格分隔：如
none server_names *.myapp.com ~\.(baidu|qq)\.
典型配置示例
假设你只想允许自己网站（my-site.com）和空 Referer（如站内页面直接打开图片）访问 /images/ 下的图片：
location /images/ {
valid_referers none server_names *.my-site.com;
if ($invalid_referer) {
return 403;
# 或者返回一张默认提示图：rewrite ^/images/.*\.(gif|jpg|png)$ /images/forbidden.png break;
}
}
注意：$invalid_referer 是 Nginx 内置变量，当 Referer 不符合 valid_referers 规则时为真。
要注意的关键点
- Referer 可被伪造：客户端可随意修改 HTTP Referer，所以这不是绝对安全方案，仅防普通盗链
-
移动端或 App 内嵌 WebView 可能无 Referer：某些环境（如微信内置浏览器、部分 App）可能不发 Referer，导致误拦，建议加
none兜底 -
不能在
server级直接使用if：必须放在location块里，否则会报错或行为异常 - HTTPS 站点引用 HTTP 图片会丢失 Referer：现代浏览器出于安全策略，从 HTTPS 页面跳转到 HTTP 资源时通常不带 Referer，需统一协议或改用 Token 鉴权等更可靠方式
调试小技巧
临时加一行日志，方便确认 Referer 实际值：
log_format referer_log '$remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent"';
access_log /var/log/nginx/referer.log referer_log;
然后用 curl -e "https://bad-site.com" https://your-site.com/images/test.jpg 模拟盗链，查日志看是否触发 $invalid_referer。
