盗链控制应通过valid_referers定义白名单并用if($invalid_referer)统一响应：可重定向至提示图/页、返回本地占位图或403错误页；需确保配置同location块内、含none/blocked、正则转义点号、if置于try_files/alias前。
直接在匹配静态资源的 location 块里，用 valid_referers 定义白名单，再通过 if ($invalid_referer) 触发重定向或替换图片，就能实现对盗链请求的响应控制。关键不是“惩罚”，而是清晰区分合法来源与非授权访问，并给出一致、友好的反馈。
配置重定向到外部提示图或页面
适用于希望引导用户注意、或统计盗链来源的场景。需确保目标地址可公开访问且稳定：
- 把盗链请求跳转到一张托管在 CDN 或第三方图床的“禁止盗链”提示图，例如：
if ($invalid_referer) { rewrite ^/.*\.(jpg|jpeg|png|webp)$ https://cdn.example.com/banned.png?from=$http_referer last; } - 也可重定向到一个说明页（如
/notice.html），便于添加品牌信息或联系方式：if ($invalid_referer) { return 302 https://yourdomain.com/notice.html?ref=$http_referer; } - 注意：使用
return 302比rewrite ... last更轻量，且不会触发内部重写循环
返回本地图像作为降级图
最常用也最可控的方式——直接返回服务器本地一张占位图，不依赖外部服务，加载快、稳定性高：
- 提前准备一张尺寸合适、带版权标识的 PNG 或 JPG，比如
/assets/forbidden.png - 在 location 中写：
if ($invalid_referer) { rewrite ^/.*\.(jpg|jpeg|png|webp)$ /assets/forbidden.png break; } - 务必确认该路径能被正常访问（建议单独配一个
location = /assets/forbidden.png并允许所有 referer） - 避免用
alias路径拼错导致 404；若用root，路径是root /var/www/html;→ 图片实际位于/var/www/html/assets/forbidden.png
统一返回 403 并自定义错误页
适合强调权限拒绝、或配合日志审计的场景。Nginx 默认 403 页面简陋，可自定义提升专业感：
- 基础拦截：
if ($invalid_referer) { return 403; } - 搭配自定义错误页，在 server 块中添加：
error_page 403 /403.html;location = /403.html { internal; } - 将
/403.html放在 root 目录下，里面可嵌入 logo、简短说明，甚至埋点统计脚本 - 若需记录盗链来源，可在
log_format中加入$http_referer，方便后续分析
必须避开的常见陷阱
很多配置看似正确却无效，往往卡在这几个细节上：
-
valid_referers必须和if ($invalid_referer)在同一个 location 块内，不能拆开或放在 server 级别后试图复用 - 一定要包含
none和blocked：前者兼容直接输入 URL 访问，后者覆盖 HTTPS→HTTP 跳转时浏览器清空 Referer 的情况 - 正则匹配域名要转义点号，如
~\.google\.com，漏掉~前缀会导致失效 - 如果 location 里用了
try_files或alias，if必须写在它们之前，否则会被跳过 - 微信内置浏览器、PWA standalone 模式等会主动清 Referer，加
none就是为这类真实用户兜底
