nginx防盗链失效主因是valid_referers、if与location三者顺序或位置错误：valid_referers必须置于location块内（不可在http顶层），if需紧随其后且同属一个location，且location须精准匹配资源路径（如location ~* .(jpg|png)$），否则规则静默失效。
排查 Nginx 防盗链因配置项顺序错误导致失效，关键在于理解 valid_referers、if 和 location 三者的执行逻辑与作用域限制——顺序错位或位置不当，会让规则完全不生效，却不会报错。
valid_referers 必须在 location 块内定义
valid_referers 指令只在 server 或 location 块中有效，在 http 块顶层写是无效的。Nginx 启动时不会提示错误，但所有防盗链判断都会跳过。
- ❌ 错误示例（写在 http 块）：
http { valid_referers none blocked example.com; ... }→ 完全不生效 - ✅ 正确做法：必须嵌套在具体匹配静态资源的
location中，例如：location ~* \.(jpg|png|js|css)$ { valid_referers none blocked example.com; if ($invalid_referer) { return 403; } }
if 指令必须紧跟 valid_referers 后且在同一 location 内
$invalid_referer 是 valid_referers 执行后才生成的变量。如果 if 块被写在另一个 location、或者被 rewrite/return 提前终止，就无法读取该变量值。
- ❌ 常见陷阱：把
if ($invalid_referer)放在location /下，而valid_referers却在location ~* \.jpg$里 → 变量未定义，始终为 false - ✅ 正确结构：两者必须同属一个
location，且if出现在valid_referers之后（顺序不可逆）
location 匹配优先级影响规则是否触发
Nginx 的 location 匹配按最长前缀或正则优先级执行。若防盗链规则放在低优先级 location 下，请求可能被更靠前的 location 拦截，根本进不到防盗链逻辑。
- ❌ 错误配置：防盗链写在
location /，而图片请求先被location ~* \.jpg$（无防盗链）捕获 → 规则被跳过 - ✅ 推荐方式：专图专用，用高优先级正则 location 精准锁定资源类型，例如：
location ~* \.(jpg|jpeg|png|gif|webp|mp4|pdf)$ { ... } - ⚠️ 注意：避免多个 location 同时匹配同一请求；可用
location = /path或location ^~ /static/明确控制优先级
验证规则是否真实生效
不要依赖日志里有没有 403，而要看请求是否真正进入防盗链 location 并触发判断：
- 临时加一条日志记录：
access_log /var/log/nginx/hotlink.log main if=$invalid_referer;（仅当 $invalid_referer 为 1 时记日志） - 用 curl 模拟不同 Referer 测试：
curl -H "Referer: https://evil.com" https://yoursite.com/test.jpgcurl -H "Referer:" https://yoursite.com/test.jpg
观察响应状态码和日志落点 - 检查 Nginx 配置加载结果：
nginx -t && nginx -s reload，再用nginx -T | grep -A5 -B5 "valid_referers"确认实际生效的配置块
