nginx本身不支持图片防盗链和动态加水印，需分别依赖valid_referers指令和ngx_http_image_filter_module模块（或第三方模块/后端服务）；防盗链通过校验referer并配合return或rewrite实现，加水印则需借助外部脚本或服务。
Linux 下用 Nginx 的 rewrite 本身不直接实现图片防盗链或动态加水印，它只做 URL 重写；真正起作用的是 valid_referers（防盗链）和 ngx_http_image_filter_module（水印/缩放等），配合 rewrite 或 return 做跳转控制。下面分两块说明实际配置逻辑和关键细节。
图片防盗链：用 valid_referers + rewrite/return 控制访问
防盗链核心是判断请求头中的 Referer 是否来自白名单域名，不是则拒绝或跳转到默认图：
- 在
server或location块中启用valid_referers，例如：
valid_referers none blocked server_names *.example.com example.com;
if ($invalid_referer) {
# 返回 403 禁止访问
return 403;
# 或跳转到默认提示图（注意：该图不能也在同域下，否则会循环）
# rewrite ^/.*\.(jpg|jpeg|png|gif)$ /images/forbidden.png break;
}-
none允许直接输入 URL 访问（如浏览器地址栏打开）；blocked拦截被篡改 Referer（如空或伪装）；server_names后跟允许的域名，支持通配符 - 不建议用
rewrite跳转到同域下的图片，容易触发二次校验导致死循环；推荐用站外图或本机静态提示图（如/usr/share/nginx/html/images/forbidden.png），并确保该路径不在防盗链规则覆盖范围内
动态加水印：用 image_filter 模块 + rewrite 触发处理
Nginx 自带的 image_filter 支持缩放、裁剪、旋转，但不支持文字/图片水印；要加水印必须借助第三方模块（如 nginx-image-filter-watermark）或外部服务（如用 Lua + GraphicsMagick）。若仅需基础缩放+跳转，可这样配置：
- 确认已编译安装
ngx_http_image_filter_module（主流发行版的 nginx 包通常默认包含） - 定义一个专门处理图片的 location，例如匹配带参数的 URL：
location ~ ^/w/(.*)\.(jpg|jpeg|png|gif)$ {
# 提取原始图路径
set $img_path /data/images/$1.$2;
# 检查文件是否存在
if (!-f $img_path) {
return 404;
}
# 开启 image_filter，这里做缩放示例（非水印）
image_filter resize 300 -;
image_filter_jpeg_quality 95;
# 指向真实图片文件
alias /data/images/;
}- 访问
/w/photo.jpg就会返回宽 300px 的缩略图；但注意：image_filter无法叠加水印图，也不能读取请求参数传入水印位置 - 如真要动态水印，推荐方案是：用
rewrite把带水印参数的请求（如/watermark?src=xxx.jpg&pos=rb）转发给后端脚本（Python/PHP），由脚本生成水印图并输出；Nginx 只做反向代理或缓存
组合使用：防盗链 + 水印服务跳转
把两者结合，常见做法是：先校验 Referer，合法再转发到水印服务；不合法则直接拦截或跳转提示图：
- 示例配置（假设水印服务运行在
localhost:8080）：
location ~ \.(jpg|jpeg|png|gif)$ {
valid_referers none blocked *.mydomain.com;
if ($invalid_referer) {
return 403;
}
# 合法请求才代理给水印服务
proxy_pass http://127.0.0.1:8080;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
}- 水印服务收到请求后解析 URL 参数（如
?w=100&h=100&wm=logo.png），用 Pillow（Python）或 GD（PHP）生成带水印图片并返回 - 这种架构清晰分离关注点：Nginx 负责接入层控制（防盗链、限速、缓存），水印逻辑交给更灵活的后端
注意事项与验证方法
配置完别忘了重载 Nginx 并测试效果：
- 用
curl -H "Referer: https://evil.com" https://yoursite.com/photo.jpg测试是否返回 403 - 检查 Nginx 错误日志（
/var/log/nginx/error.log）看是否有image_filter不支持格式或文件未找到报错 -
image_filter只支持 JPEG/PNG/GIF，且要求图片头部完整；损坏图会导致 415 错误 - 所有涉及
if的配置都放在location内，避免在server级滥用导致意外行为
