Nginx 防盗链怎么记录被防盗链拦截的异常访问日志-Nginx-PHP中文网

要记录被防盗链拦截的异常访问，关键在于通过$invalid_referer变量显式标记拦截状态，并按资源类型分离日志、补充referer分类，同时注意空referer等误判场景。

nginx 防盗链怎么记录被防盗链拦截的异常访问日志

要记录被防盗链拦截的异常访问，关键不是只记“谁被拦了”，而是让日志能清晰区分“正常请求”和“因 referer 不合法被拦的请求”，同时避免把空 referer 或误判流量混为一谈。

在日志中显式标记拦截状态

默认 access_log 不包含拦截标识。需配合 $invalid_referer 变量，用 set 或 map 定义一个标记字段（如 $blocked），再写入自定义日志格式：

在 server 或 http 块中添加：

set $blocked "-";<br>if ($invalid_referer) { set $blocked "blocked"; }

定义日志格式时加入该变量：
log_format referer_log '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$blocked"';
启用该格式：
access_log /var/log/nginx/referer.log referer_log;

这样每条日志末尾会显示 "-"（正常）或 "blocked"（被防盗链规则拦截），方便 grep、awk 快速筛选。

按资源类型分离日志，避免干扰

防盗链通常只作用于图片、字体等静态资源。把这类请求单独记录，能避免与首页、API 等正常流量混在一起：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

在匹配图片后缀的 location 中启用独立日志：

location ~* \.(jpg|jpeg|png|gif|webp|ico|svg)$ {<br>  valid_referers none blocked server_names *.yourdomain.com;<br>  access_log /var/log/nginx/blocked-images.log referer_log;<br>  if ($invalid_referer) { return 403; }<br>}

这样所有被拦的图片请求都集中在 blocked-images.log，排查更聚焦。

补充 referer 分类，识别真实来源意图

单靠 $invalid_referer 只知道“不合法”，但不知道“来自哪”。用 map 对 $http_referer 做分类，可快速定位高频盗链域名：

添加 map 块（放在 http 块内）：

map $http_referer $referer_type {<br>  default "other";<br>  "-" "direct";<br>  ~*\.baidu\.com "baidu";<br>  ~*\.google\.com "google";<br>  ~*yourdomain\.com "internal";<br>  ~*bad-site\.net "bad-site";<br>}