最稳妥做法是在匹配静态资源的location块中配置valid_referers+if($invalid_referer)，白名单支持none、blocked、域名及正则，满足任一即放行；拦截推荐return 403或error_page 403=200提示图，并确保root/alias路径正确。
直接在匹配静态资源的 location 块里配 valid_referers + if ($invalid_referer)，是最稳妥、最常用的做法。不建议全局配置，也不该放在 http 或 upstream 块里。
明确要保护哪些文件
别一股脑保护所有后缀。只选真正容易被盗用、又不需要跨域调用的资源，比如：
- 图片类：
.jpg、.png、.gif、.webp - 媒体类：
.mp4、.mov - 文档类：
.pdf、.zip - 前端资源：
.js、.css（注意：若被其他合法页面嵌入使用，需谨慎）
字体（.woff2、.ttf）、SVG 图标、API 接口响应等一般不建议加防盗链，容易误拦。
写对 valid_referers 白名单
白名单是“或”关系，满足任一即放行。常用写法包括：
-
none：允许直接输入 URL 访问（如用户收藏图片链接） -
blocked：允许 Referer 被代理、浏览器隐私模式或 HTTPS→HTTP 混合内容清空的情况 -
example.com：精确匹配主域名（不含 www） -
www.example.com：单独写上带 www 的版本（它和 example.com 不等价） -
*.example.com：匹配所有子域名（如 blog.example.com、img.example.com） -
~\.baidu\.(com|cn)$：正则匹配，注意点号要转义，结尾加$防止误匹配
推荐组合示例：valid_referers none blocked *.example.com example.com www.example.com;
拦截动作要语义清晰
别用 rewrite 跳转到提示图——状态码还是 200，日志看不出异常，还可能引发循环匹配。推荐两种方式：
-
返回标准 403：
if ($invalid_referer) { return 403; }（最简洁，CDN 和爬虫能正确识别） -
返回 403 但展示提示图：
error_page 403 =200 /images/forbidden.png;，同时确保/images/forbidden.png这个路径本身不走防盗链（可单独加一个不带if的location）
确保 root 或 alias 正确就位
防盗链逻辑生效的前提是 Nginx 能找到文件。如果用了 location ~* \.(jpg|png)$，那必须在同一块里声明资源路径：
- 用
root /var/www/html;→ 请求/photo.jpg对应磁盘路径/var/www/html/photo.jpg - 用
alias /var/www/static/;→ 请求/static/photo.jpg对应/var/www/static/photo.jpg
漏掉这一步，Nginx 找不到文件，会先返回 404，防盗链根本没机会触发。
