最直接有效的方式是用 curl 命令模拟不同 Referer 场景，结合浏览器访问和日志观察，三步验证防盗链是否生效：1. 用 curl 测试合法、非法、空 Referer 和被屏蔽 Referer 的响应状态码与内容；2. 在浏览器中构造盗链页面，检查图片加载结果及 Network 面板状态码；3. 查 Nginx access.log 中非法 Referer 对应的 403/302 记录，确认拦截行为。

最直接有效的方式是用 curl 命令模拟不同 Referer 场景，结合浏览器访问和日志观察，三步验证是否真正生效。

用 curl 模拟非法 Referer 请求

在服务器或本地终端执行以下命令，重点看返回状态码和响应内容：

• 合法来源（应放行）：curl -I -e "https://yourdomain.com" http://yourdomain.com/img/logo.png
• 非法来源（应拦截）：curl -I -e "https://badsite.com" http://yourdomain.com/img/logo.png
• 空 Referer（如书签直连，应放行）：curl -I http://yourdomain.com/img/logo.png
• 被屏蔽的 Referer（如某些 App 内嵌页）：curl -I -e "blocked" http://yourdomain.com/img/logo.png

预期结果：非法请求返回 403 或重定向到提示图/页面；合法请求返回 200 且 Content-Type 正确（如 image/png）。

浏览器中构造盗链页面测试

在另一台机器（或本地建一个 HTML 文件）写一个简单页面，引用你站点的图片：

@@##@@

用浏览器打开该页面，观察图片是否加载失败、显示占位符、或跳转到提示页。注意检查浏览器开发者工具的 Network 面板，确认请求状态码和响应头。

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

查 Nginx 访问日志快速定位拦截行为

盗链请求被拦截后，会在 access log 中留下明确痕迹。执行：

tail -f /var/log/nginx/access.log | grep "yourdomain.com/img/"

重点关注含以下特征的行：

• Referer 字段为非白名单域名（如 "https://evil-site.net/"）
• 响应状态码为 403（return 方式）或 302（重定向方式）
• 响应体大小异常小（如 403 返回通常只有几十字节）

若日志中大量出现非法 Referer + 403，说明规则已起作用；若仍有 200，需检查 valid_referers 白名单是否漏配或匹配逻辑有误。

额外提醒：避开常见干扰项

测试时注意排除以下误判因素：

• 确保测试图片本身 不在防盗链 location 范围内（如提示图 /daolian.png 应放在独立路径，并关闭其防盗链）
• 微信、QQ 等 App 内浏览器常不带 Referer 或值为 blocked，务必在 valid_referers 中包含 none blocked
• 避免用同一浏览器反复测试：缓存可能影响结果，建议每次清空缓存或用隐身窗口
• 不要只测根域名——example.com 和 www.example.com 是两个不同值，白名单需分别列出或用 *.example.com