Nginx 怎么在 Nginx 中配置针对移动端微信内置浏览器的特殊防盗链阻断策略-Nginx-PHP中文网

nginx无法单靠user-agent识别微信内置浏览器防盗链，需结合referer白名单与微信ua黑名单双重校验：仅当referer非法且ua含micromessenger等特征时返回403，避免误拦合法微信访问。

nginx 怎么在 nginx 中配置针对移动端微信内置浏览器的特殊防盗链阻断策略

Nginx 本身无法直接识别“微信内置浏览器”这一客户端类型来实施防盗链，因为 Referer 字段不包含 UA 信息，而防盗链核心依赖的是 Referer 头（不是 User-Agent）。但你可以结合 Referer + User-Agent 的双重判断，实现对微信内链场景的增强型阻断——尤其适用于那些从微信公众号、小程序跳转页盗用你静态资源的情况。

关键点在于：微信内打开网页时，Referer 通常是 https://mp.weixin.qq.com/ 或 https://weixin110.qq.com/ 等微信域，但真实盗链者可能伪造 Referer；而微信 WebView 的 User-Agent 有固定特征（如含 MicroMessenger），这个字段更难被普通盗链页面伪造（除非主动模拟）。

所以合理策略是：
✅ 对高频被盗资源（如 .jpg, .png, .mp4）做 Referer 白名单 + 微信 UA 黑名单组合拦截
❌ 不单独靠 UA 做防盗链主逻辑（因 if ($http_user_agent ~* MicroMessenger) 在 location 外不推荐，且易误伤正常微信用户）
⚠️ 必须配合 Referer 校验，避免把合法微信访问（如公众号图文页）也拦掉

一、明确要保护的资源路径和后缀

只针对实际被盗严重的资源加限制，例如：

location ~* \.(jpg|jpeg|png|gif|webp|mp4|pdf)$ {
    # 后续规则在此 location 内生效
}

不要写成 location / 或 location ~* \.，否则可能误拦 API、字体、JS 等。

二、设置 Referer 白名单（基础防盗链）

允许你自己的域名、空 Referer（直接访问）、以及微信官方跳转来源（可选）：

微信创作

自动将 Markdown 文章转为适配微信公众号格式的 HTML，并批量发布至公众号草稿箱，支持封面图生成与专题管理。

下载

valid_referers none blocked
    *.yourdomain.com yourdomain.com
    https://mp.weixin.qq.com/
    https://weixin110.qq.com/
    https://servicewechat.com/;

none：支持用户直接输入 URL 访问（如分享链接到微信后点击打开）
blocked：兼容某些隐私模式或代理清 Referer 的情况
显式加入微信官方域名：让公众号图文页、服务号菜单页等合法引用能通过

⚠️ 注意：https://mp.weixin.qq.com/ 是微信 H5 官方入口，但盗链者也能伪造该 Referer。所以它只是“白名单之一”，不能单独依赖。

三、添加微信 UA 黑名单（增强阻断）

在同一个 location 块内，用 if 判断 User-Agent 是否含微信特征，且 Referer 不在白名单中（即双重不满足才拦截）：

if ($invalid_referer) {
    if ($http_user_agent ~* "MicroMessenger|WeiXin|MQQBrowser") {
        return 403;
    }
}

或者更稳妥写法（避免嵌套 if，用 map 预判）：

# 在 http 块顶部定义（一次定义，全局可用）
map $http_user_agent $is_wechat_ua {
    default 0;
    ~*MicroMessenger 1;
    ~*WeiXin 1;
    ~*MQQBrowser 1;
}

# 在 location 内
if ($invalid_referer & $is_wechat_ua) {
    return 403;
}

这样逻辑清晰：仅当 Referer 非法且请求来自微信环境时，才拒绝——既防普通盗链，又精准打击“从微信页盗你图再贴到自己站”的行为。

四、响应方式建议：返回 403 而非重定向图

微信内嵌浏览器对 403 响应兼容性好，且不会触发二次请求（重写到 /forbidden.png 可能引发循环或跨域问题）
若需提示，建议前端 JS 捕获图片加载失败后展示友好文案，而非 Nginx 层处理
日志中可通过 $http_referer 和 $http_user_agent 字段排查拦截是否合理：

log_format referer_ua '$remote_addr - $remote_user [$time_local] '
                       '"$request" $status $body_bytes_sent '
                       '"$http_referer" "$http_user_agent"';
access_log /var/log/nginx/wechat-block.log referer_ua;