nginx静态文件防盗链需在匹配资源的location块中同时配置root与valid_referers+if判断；valid_referers放行合法来源（none/blocked/域名），$invalid_referer为真时return 403。
Linux 下用 Nginx 实现静态文件防盗链，root 指令本身不负责防盗链，它只是指定文件系统路径；真正起作用的是 valid_referers 配合 $invalid_referer 变量和 if 判断。关键在于把 root 和防盗链逻辑放在同一个能精准匹配静态资源的 location 块里。
防盗链必须写在匹配静态资源的 location 中
不能把 valid_referers 放在 http 或 server 根层级——它只在 server 或 location 块内生效。推荐两种匹配方式：
-
location ^~ /static/ { ... }：前缀匹配，适合资源集中存放在统一路径下（如/static/css/app.css） -
location ~* \.(jpg|png|js|css|webp|svg)$ { ... }：正则匹配，适合按扩展名分散管理的资源
root 的位置决定文件路径是否可访问
root 必须出现在同一 location 块中，否则 Nginx 找不到文件，防盗链判断就失去意义。例如：
Browser Setup (No-Root Linux)
下载
在无 root/sudo 权限的环境（云容器、VPS、隔离主机）中安装并配置 OpenClaw 浏览器工具的 headless Chrome。适用场景：...
-
location ^~ /static/ { root /var/www/html; }→ 请求/static/js/main.js对应磁盘路径/var/www/html/static/js/main.js - 如果漏掉
root，Nginx 默认用全局root，容易错配路径或返回 404 - 不要和
alias混用：alias会截掉location路径前缀，root是拼接，二者行为不同
valid_referers 白名单要包含真实访问场景
valid_referers 不是“拦截非法”，而是“放行合法”。多规则是“或”关系，满足任一即通过。必须保留：
-
none：允许用户直接在浏览器输入 URL、点击收藏夹、PWA 离线加载等无 Referer 场景 -
blocked：允许被企业防火墙、代理、隐私浏览器清空 Referer 的请求（如值为about:blank或localhost） - 你的域名：如
example.com、www.example.com、*.example.com（注意子域名需单独写或用通配符）
典型配置示例（含 root + 防盗链）
以下配置限制仅允许本站及指定来源访问 /static/ 下所有文件，非法请求返回 403：
location ^~ /static/ {
valid_referers none blocked example.com *.example.com;
if ($invalid_referer) {
return 403;
}
root /var/www/html;
expires 1y;
add_header Cache-Control "public, immutable";
}
注意：return 403 是最清晰的做法；避免用 rewrite 跳转默认图，否则状态码变成 200，掩盖真实拦截行为，也易引发参数丢失或循环匹配问题。
