Nginx 怎么在 Nginx 中配置针对核心静态资产的防盗链与防暴力破解下载限速组合拳-Nginx-PHP中文网

nginx需分层防护静态资源：防盗链管来源、限速管频率、防爆破管行为，按资源类型拆分location，分别配置valid_referers、limit_req/limit_conn和limit_rate，避免规则冲突。

nginx 怎么在 nginx 中配置针对核心静态资产的防盗链与防暴力破解下载限速组合拳

直接在 Nginx 中对核心静态资产（如图片、PDF、视频、字体等）同时启用防盗链 + 防暴力破解 + 下载限速，不是叠加配置就行，而是要分层拦截、按需分流、避免规则冲突。重点在于：防盗链管“来源”，限速管“频率”，防爆破管“行为”，三者必须错开作用域，否则容易误杀合法请求或形同虚设。

✅ 明确区分资源类型与防护层级

不要把所有静态资源塞进一个 location 块里统一处理。应按风险和用途拆分：

高价值可下载资源（如 /download/*.pdf、/res/*.zip）：需同时启用防盗链 + 请求限速 + 连接数限制
页面内嵌资源（如 /static/*.js、/img/*.webp）：重点做防盗链 + 缓存头，一般不加限速（否则影响首屏）
公开 API 资源（如 /api/v1/assets）：不走防盗链，但必须加 limit_req 防刷

✅ 防盗链：精准识别合法 Referer，兼顾空来源与子域名

针对核心静态资源路径（例如 /download/ 或 /res/），用正则匹配后缀，并设置白名单逻辑：

在 server 块中添加：

location ~* ^/download/.*\.(pdf|zip|exe|mp4|avi|dmg)$ {
    valid_referers none blocked *.yourdomain.com yourdomain.com;
    if ($invalid_referer) {
        return 403;
    }
}

说明：

none 允许用户直接粘贴 URL 访问（比如分享链接）
blocked 允许被微信、钉钉等 App 内置浏览器屏蔽 Referer 的情况
不写 www. 而写 *.yourdomain.com，覆盖 admin.yourdomain.com、cdn.yourdomain.com 等所有子域
避免用 $host 或 $http_referer 手动判断——Nginx 已内置 $invalid_referer 变量，更安全可靠

✅ 防暴力破解下载：基于 IP 的请求频控 + 突发缓冲

下载接口容易被脚本高频拉取，需在 http 块定义限流区，再在对应 location 中调用：

在 http {} 块顶部添加：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

limit_req_zone $binary_remote_addr zone=dl_limit:10m rate=3r/m;
limit_conn_zone $binary_remote_addr zone=dl_conn:10m;

在 download location 中加入：

location ~* ^/download/.*\.(pdf|zip|exe|mp4)$ {
    valid_referers none blocked *.yourdomain.com;
    if ($invalid_referer) { return 403; }
<pre class="brush:php;toolbar:false;">limit_req zone=dl_limit burst=5 nodelay;
limit_conn dl_conn 3;

# 允许大文件流式传输，禁用缓存干扰
add_header X-Content-Type-Options nosniff;
add_header Content-Disposition "attachment";

}

关键点：

rate=3r/m 表示每分钟最多 3 次请求，适合防止批量下载；若为注册用户可提升至 10r/m 并配合 cookie 区分
burst=5 允许短时突发（比如用户点开页面瞬间加载多个附件预览），超过即 503
limit_conn 3 限制单 IP 最多 3 个并发连接，防多线程下载工具

✅ 下载限速：控制单连接带宽，保护服务器出口

对真实大文件传输，光限请求数不够，还需压单连接速率，避免一个请求吃光带宽：

location ~* ^/download/.*\.(mp4|avi|mkv|iso)$ {
    valid_referers none blocked *.yourdomain.com;
    if ($invalid_referer) { return 403; }
<pre class="brush:php;toolbar:false;">limit_req zone=dl_limit burst=2 nodelay;
limit_conn dl_conn 2;

# 关键：限速 2MB/s（约 16Mbps），单位是 bytes/second
limit_rate 2097152;
limit_rate_after 5242880; # 前 5MB 不限速，提升小文件体验

}

说明：