Nginx 防盗链怎么排查由于大小写敏感导致的白名单漏网-Nginx-PHP中文网

nginx防盗链因valid_referers大小写敏感导致白名单漏判，需用~正则显式兼容大小写，如~^https?://(www.)?example.com(/|$)，并转义点号、加结尾锚定，禁用server_names兜底。

nginx 防盗链怎么排查由于大小写敏感导致的白名单漏网

Nginx 防盗链规则因大小写敏感导致白名单漏网，本质是 valid_referers 指令对域名匹配默认区分大小写，而实际请求中的 $http_referer 可能携带大写域名（如 HTTP://WWW.EXAMPLE.COM 或 https://Example.Com），若白名单只写小写 example.com，就会误判为非法来源。

检查 referer 域名是否被大小写干扰

Nginx 的 valid_referers 不支持原生忽略大小写的正则匹配（如 (?i)），其 server_names 和字面字符串匹配均严格区分大小写。常见漏网场景包括：

用户从 HTTPS 页面用 window.open() 打开新页，部分浏览器生成的 Referer 为 HTTPS://EXAMPLE.COM
某些旧版代理或企业网关重写 Referer 时保留大写协议头
爬虫（如早期 Bingbot）或测试工具手动构造 Referer，含大写域名

验证方法：
在 access.log 中搜索带大写字母的 referer，例如：

grep -E "Referer:.*[A-Z]" /var/log/nginx/access.log | head -20

再筛选出对应资源返回 403 的记录：

awk '$9 == "403" && $0 ~ /Referer:.*[A-Z]/ {print}' /var/log/nginx/access.log

配置白名单时主动兼容大小写

不要依赖 Nginx 自动转换，而是显式覆盖大小写变体：

使用正则匹配模式（以 ~* 开头），开启不区分大小写：

location ~* \.(jpg|png|webp|gif)$ {
    valid_referers
        none
        blocked
        ~*^https?://(www\.)?example\.com(/|$)
        ~*^https?://(www\.)?partner-site\.net(/|$);
    if ($invalid_referer) {
        return 403;
    }
}

⚠️ 注意：~* 必须写在每个正则前；example\.com 中的点要转义；结尾 (/|$) 防止 example.com.hacker.ru 被误匹配。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

若需匹配子域名通配（如 *.example.com），不能直接写 *.example.com（这是 literal 字符串，区分大小写），应改用正则：
```
~*^https?://([a-z0-9.-]+\.)*example\.com(/|$)
```

避免用 server_names 代替白名单做大小写兜底

valid_referers server_names 仅匹配 server_name 指令中完全一致的值（含大小写）。例如你写了：

server_name EXAMPLE.COM;

它才认 EXAMPLE.COM；若写的是 example.com，那 EXAMPLE.COM Referer 就不匹配。
所以：

server_names 不解决大小写问题，反而加剧风险
应统一用 ~* 正则替代 server_names，确保逻辑可控

日志中确认 UA + Referer 组合是否真实触发拦截

有时看似是大小写问题，实则是 UA 被误拦（比如爬虫无 Referer，但规则没放行 UA）。建议联合排查：

# 查看所有 403 请求中，Referer 含大写字母且 UA 是主流爬虫的情况
awk '$9 == "403" && $0 ~ /Referer:.*[A-Z]/ && $0 ~ /Baiduspider|Googlebot|Bingbot/ {print}' /var/log/nginx/access.log

若存在，说明大小写+爬虫双重漏判，需同时补正则白名单和 UA 放行逻辑。

基本上就这些。