关键在于将防盗链配置写入独立的/etc/nginx/conf.d/anti-leech.conf文件并只读挂载，确保其置于server或location块内、权限644、域名与server_name一致，并通过nginx -t和nginx -T验证加载及curl -e测试生效。

在 Docker 容器化部署中正确挂载含防盗链规则的 Nginx 配置文件，关键在于配置文件路径映射准确、语法生效位置合理、且不被覆盖或忽略。以下是实操要点：

确保防盗链配置写在被加载的配置块内

容器中 Nginx 默认会加载 /etc/nginx/conf.d/*.conf（取决于基础镜像），而不是只读取主配置 nginx.conf。因此：

• 不要把防盗链规则只写在 nginx.conf 的 http 块顶层——容易被后续 include 覆盖或作用域不匹配
• 推荐新建一个独立配置文件，例如 anti-leech.conf，放在 conf.d/ 目录下
• 该文件需置于 server 块或具体 location 块中（不能裸写 valid_referers）

挂载方式要覆盖目标路径，且权限可读

使用 volumes 挂载时，必须确保宿主机文件能被容器内 Nginx 进程读取：

Nginx Reverse Proxy

配置 Nginx 反向代理，实现域名绑定。用户说“绑定域名”“配置 Nginx”“反向代理”时触发，将域名绑定到指定 IP:端口。

下载

• 推荐挂载单个配置文件：./nginx/conf.d/anti-leech.conf:/etc/nginx/conf.d/anti-leech.conf:ro
• 避免挂载整个 conf.d/ 目录（除非你完全接管该目录），否则可能覆盖镜像自带的默认配置（如 default.conf）
• 检查宿主机文件权限：chmod 644 anti-leech.conf，防止因权限不足导致 Nginx 启动失败或静默跳过

防盗链配置需适配容器运行环境

容器内域名、路径、协议可能与物理机不同，需同步调整白名单和资源路径：

• valid_referers 中的 server_names 依赖 server_name 指令值，务必与容器实际监听的域名一致（如 example.com 或 localhost）
• 若前端通过反向代理（如 Traefik/Nginx Ingress）暴露服务，真实 Referer 可能被改写，需确认是否透传原始 Referer 头
• 用 location ~* \.(jpg|png|webp)$ 匹配资源，比 location /img/ 更灵活，也更符合容器中静态资源常分散部署的特点

验证配置是否生效的三步法

容器启动后，别只看日志“success”，要主动验证：

• 进入容器执行：nginx -t —— 确认语法无误且能加载到你的 anti-leech.conf
• 检查加载结果：nginx -T 2>&1 | grep -A5 -B5 "valid_referers" —— 看规则是否出现在最终合并配置中
• 用 curl -e "https://evil-site.com" http://your-domain/image.jpg 测试返回是否为 403 或重定向行为