1. 项目概述与核心价值在运维和Web开发的实际工作中我们经常会遇到一些看似基础但处理不当就会引发安全风险或资源滥用的问题。其中两个典型场景就是服务器被用户直接用IP地址访问以及站点的静态资源如图片、视频被其他网站随意盗用。前者可能导致搜索引擎惩罚、品牌混淆甚至为恶意扫描敞开大门后者则直接消耗你的服务器带宽和资源为他人做嫁衣。今天要聊的就是如何利用Nginx这一强大的Web服务器通过配置来优雅且彻底地解决这两个痛点——禁止IP访问、强制域名访问以及设置有效的防盗链。你可能觉得这很简单不就是写几行配置吗但根据我多年的踩坑经验这里面有不少细节比如如何正确处理带端口和不带端口的IP访问、如何避免在重定向时出现死循环、如何应对那些“聪明”的爬虫和伪造了Referer的请求。一个配置不当轻则导致部分用户无法访问重则可能影响SEO或形成安全漏洞。接下来我会结合最常见的生产环境需求从原理到实践带你一步步搭建起这两道安全与资源管控的防线。2. Nginx禁止IP访问与只允许域名访问的深度配置2.1 为什么必须禁止IP直接访问让用户通过IP直接访问服务器听起来很方便但实际上隐患重重。首先这不利于品牌建设用户记住的是一个毫无意义的数字串而非你的品牌域名。其次从SEO角度搜索引擎可能会将你的IP和域名视为两个不同的站点导致内容重复影响排名。更严重的是安全风险暴露IP地址会让你的服务器更容易成为端口扫描、漏洞探测的目标。此外如果你的服务器托管了多个网站虚拟主机允许IP访问会导致Nginx无法确定用户想访问哪个站点通常会返回默认站点的内容这会造成混乱。因此最佳实践是将所有通过IP地址包括服务器公网IP和内网IP发起的HTTP/HTTPS请求要么拒绝要么重定向到你指定的主域名。2.2 核心配置方案解析与选型实现“禁止IP只允许域名”通常有两种主流思路各有适用场景。方案一返回特定错误码如444或403这是最直接、最省资源的方式。当Nginx收到一个指向服务器IP的请求时直接关闭连接444或返回一个“禁止访问”403的错误页面。优点处理速度快服务器负载低明确告知访问者此路不通。缺点用户体验不友好访问者看到一个错误页面不知道该如何正确访问。适用场景适用于API接口服务器、后台管理入口等不希望被普通用户随意访问的场景或者作为一道纯粹的防御屏障。方案二301永久重定向到主域名这是对用户和搜索引擎最友好的方式。当检测到IP访问时Nginx会发送一个301重定向响应告诉浏览器或爬虫“这个资源已永久移动到某个域名下请使用新地址访问”。优点用户体验好SEO友好。搜索引擎会将原IP地址的权重传递到目标域名。缺点相比直接丢弃连接会多一次HTTP请求/响应交互略微增加开销。适用场景绝大多数面向公众的网站、Web应用的首选方案。对于一般网站我强烈推荐方案二301重定向因为它兼顾了用户体验和长期收益。2.3 详细配置步骤与避坑指南假设你的主域名是www.yourdomain.com服务器IP是192.168.1.100。下面我们来配置一个独立的Nginx Server块来处理IP访问。首先找到你的Nginx配置文件通常主配置文件是/etc/nginx/nginx.conf而具体的站点配置在/etc/nginx/conf.d/或/etc/nginx/sites-available/目录下。我们将为IP访问专门创建一个配置。步骤1创建或修改IP访问的Server配置你可以新建一个文件如/etc/nginx/conf.d/block_ip.conf或者在你默认的Server配置文件中增加一个Server块。# 专门监听IP地址访问的Server块 server { # 监听80端口并绑定到服务器的所有IP地址包括公网和内网 listen 80 default_server; listen [::]:80 default_server; # 关键这里填写你服务器的真实IP地址。使用default_server确保捕获所有未明确匹配域名的请求。 server_name 192.168.1.100; # 你的服务器IP # 也可以直接写 server_name _; 来匹配所有未定义的域名但明确写出IP更清晰。 # 方案一直接返回444状态码关闭连接最严格 # return 444; # 方案二推荐301永久重定向到主域名 return 301 http://www.yourdomain.com$request_uri; # 如果你的站点启用了HTTPS则应重定向到HTTPS地址 # return 301 https://www.yourdomain.com$request_uri; }步骤2确保主域名配置正确你需要有一个正常处理www.yourdomain.com请求的Server块。例如server { listen 80; server_name www.yourdomain.com yourdomain.com; # 这里配置你的网站根目录、PHP解析等常规设置 root /var/www/yourdomain; index index.html index.php; # ... 其他配置 }步骤3测试与重载配置检查配置语法是否正确sudo nginx -t如果显示syntax is ok和test is successful则说明语法无误。重载Nginx配置使更改生效sudo nginx -s reload # 或者使用systemd # sudo systemctl reload nginx2.4 关键注意事项与高级技巧关于default_serverdefault_server参数至关重要。它指定这个Server块为默认主机用于处理那些Host头不匹配任何已定义server_name的请求。如果不设置当用户通过IP访问时Nginx可能会将其交给第一个定义的Server块处理导致重定向逻辑失效。处理HTTPSSSL请求如果你的站点支持HTTPS务必也为443端口配置相应的重定向。否则用户通过https://192.168.1.100访问时会因为SSL证书不匹配证书是针对域名的而导致浏览器警告之后才可能被重定向。更完善的配置是server { listen 443 ssl default_server; listen [::]:443 ssl default_server; server_name 192.168.1.100; # 这里需要临时配置一个SSL证书可以是自签名的仅用于重定向。 ssl_certificate /path/to/a_dummy_or_self_signed.crt; ssl_certificate_key /path/to/a_dummy_or_self_signed.key; return 301 https://www.yourdomain.com$request_uri; }保留$request_uri重定向指令中的$request_uri变量包含了原始请求的URI路径和参数。保留它可以确保用户访问http://192.168.1.100/about?page1时被正确重定向到http://www.yourdomain.com/about?page1而不是仅仅跳到首页。内网访问考虑有时管理员或内部服务需要通过IP访问服务器。你可以在重定向规则中添加条件判断例如只对非特定IP段如非内网IP的请求进行重定向。这需要结合geo模块或if语句使用if需格外谨慎复杂度会增加需根据实际情况权衡。3. Nginx防盗链Hotlinking Protection全面解析3.1 盗链的原理与危害盗链简单说就是其他网站直接引用你服务器上的图片、视频、CSS、JS等静态资源文件并在其页面上显示或使用。用户的浏览器在加载那个盗链网站时会直接从你的服务器请求这些资源。危害显而易见带宽消耗流量费用由你承担为别人的网站提供资源。服务器负载增加不必要的请求占用你的CPU、内存和I/O资源。版权侵犯你的原创内容被无偿使用。防盗链的核心原理就是检查HTTP请求头中的Referer或Referrer字段。这个字段通常包含了发起当前请求的页面URL。如果Referer值不在你允许的域名列表内Nginx就拒绝提供资源。3.2 基于Referer的防盗链基础配置假设你想保护/images/和/uploads/目录下的所有图片文件后缀为 .jpg, .png, .gif等只允许你自己的网站www.yourdomain.com和空Referer比如用户直接浏览器输入图片地址、或从书签打开访问。在你的主域名Server配置块中添加如下location配置server { listen 80; server_name www.yourdomain.com; root /var/www/yourdomain; # ... 其他配置 # 防盗链配置 - 保护图片资源 location ~* \.(jpg|jpeg|png|gif|ico|webp|bmp)$ { # 定义合法的来源域名 valid_referers none blocked server_names *.yourdomain.com yourdomain.com ~\.google\. ~\.bing\. ~\.yahoo\. ~\.baidu\. ~\.so\. ~\.sogou\. localhost; # 判断如果Referer不合法 if ($invalid_referer) { # 可以返回403错误 # return 403; # 或者更友好/有趣的方式重写到一个提示图片 rewrite ^ /images/blocked.png; # 确保这个blocked.png图片存在且很小 } # 合法的请求正常处理 # 可以在这里添加缓存头等优化设置 expires 30d; add_header Cache-Control public, immutable; } }配置解析location ~* \.(jpg|jpeg|png|gif|ico|webp|bmp)$这是一个不区分大小写的正则匹配匹配所有以这些后缀结尾的请求。valid_referers定义合法的Referer值。none允许Referer头为空的请求直接访问。blocked允许Referer头存在但值被防火墙或代理移除通常为空或无效值的请求。server_names允许server_name中定义的域名。显式列出域名如*.yourdomain.com。正则表达式匹配如~\.google\.允许来自Google搜索引擎的引用方便图片被搜索到。$invalid_referer这是一个内置变量。如果Referer不在valid_referers列表中其值为1否则为0。if ($invalid_referer) { ... }判断并处理非法盗链请求。你可以选择返回403错误或者重写请求到一个特定的“禁止盗链”提示图片。后者用户体验稍好且能明确告知引用者。3.3 高级防盗链策略与反爬虫措施基础Referer检查很容易被绕过因为Referer头是客户端发送的可以被伪造。因此我们需要更高级的策略。策略一签名URLSecure Link这是非常强大的防盗链方法。原理是服务器生成资源链接时附加一个基于密钥、过期时间和资源路径计算出的MD5哈希值签名。Nginx在收到请求时用同样的算法验证签名和过期时间。优点安全性极高无法伪造。缺点需要应用程序端配合生成签名链接静态HTML页面无法直接使用。配置示例Nginx需编译ngx_http_secure_link_module模块location /protected/ { secure_link $arg_md5,$arg_expires; secure_link_md5 $secure_link_expires$uri your_secret_key; if ($secure_link ) { return 403; # 签名无效或过期 } if ($secure_link 0) { return 410; # 链接已过期 } # 验证通过正常提供文件 alias /path/to/your/files; }访问链接形如/protected/file.jpg?md5XXXXXexpires1743456789策略二结合地理位置或IP黑名单对于恶意爬虫集中来自某个地区或IP段的情况可以结合geo模块或map模块进行拦截。例如只允许特定国家的IP访问图片资源。策略三频率限制Rate Limiting使用ngx_http_limit_req_module模块对图片等资源的请求进行频率限制。虽然不能完全防止盗链但可以极大缓解因盗链导致的服务器压力。# 在http块中定义限制区 http { limit_req_zone $binary_remote_addr zoneimglimit:10m rate10r/s; ... } # 在location中应用 location ~* \.(jpg|png|gif)$ { limit_req zoneimglimit burst20 nodelay; ... }3.4 防盗链配置的常见陷阱与调试方法误杀正常流量最常见的错误是valid_referers列表配置不全导致来自搜索引擎、社交媒体分享、邮件客户端这些来源的Referer可能比较特殊的请求被拦截。务必仔细测试并将已知的安全来源如~\.facebook\.、~\.twitter\.加入白名单。CDN的影响如果你使用了CDN如Cloudflare用户的请求会先到达CDN节点再由CDN回源到你的服务器。此时Nginx看到的Referer是CDN节点带来的可能不是你期望的原始Referer。你需要检查CDN的设置确保其能正确传递原始Referer头或者在valid_referers中加入CDN的域名。HTTPS与HTTP混合内容如果你的主站是HTTPS但盗链网站是HTTP浏览器出于安全考虑在HTTPS页面中加载HTTP资源时不会发送Referer头。这会导致Referer为空而你的配置如果允许none则盗链请求会被放行。一种更严格的策略是在HTTPS站点上可以不设置none和blocked只允许自己的HTTPS域名但这可能会影响一些特殊情况。调试技巧在Nginx配置中临时添加日志记录Referer和判断结果location ~* \.(jpg|png)$ { valid_referers ...; if ($invalid_referer) { # 记录非法请求到日志 access_log /var/log/nginx/hotlink.log combined; return 403; } }使用浏览器开发者工具的“网络”Network选项卡查看图片请求的请求头确认Referer值是否符合预期。使用curl命令模拟请求进行测试# 模拟带有Referer的请求 curl -I -H Referer: http://evil.com http://yourdomain.com/image.jpg # 模拟空Referer的请求 curl -I http://yourdomain.com/image.jpg4. 整合配置与生产环境部署建议4.1 完整的配置示例将禁止IP访问和防盗链配置整合到一个典型的网站配置中看起来是这样的# 1. 拦截IP访问重定向到域名 server { listen 80 default_server; listen [::]:80 default_server; server_name _; # 匹配所有 return 301 https://www.yourdomain.com$request_uri; } server { listen 443 ssl default_server; listen [::]:443 ssl default_server; server_name _; ssl_certificate /etc/nginx/dummy.crt; ssl_certificate_key /etc/nginx/dummy.key; return 301 https://www.yourdomain.com$request_uri; } # 2. 主域名HTTPS站点配置 server { listen 443 ssl http2; server_name www.yourdomain.com yourdomain.com; ssl_certificate /etc/letsencrypt/live/yourdomain.com/fullchain.pem; ssl_certificate_key /etc/letsencrypt/live/yourdomain.com/privkey.pem; root /var/www/yourdomain; index index.html index.php; # 启用防盗链图片、视频、字体等 location ~* \.(jpg|jpeg|png|gif|ico|webp|bmp|mp4|webm|woff2?|ttf|eot|svg)$ { valid_referers none blocked server_names *.yourdomain.com ~\.google\. ~\.bing\. ~\.baidu\. ~\.facebook\. ~\.twitter\.; if ($invalid_referer) { # 返回一个小的、透明的GIF图片减少带宽浪费 # 或者 rewrite ^ /assets/blocked.gif; return 403; } # 优化静态资源缓存 expires 1y; add_header Cache-Control public, immutable; add_header X-Content-Type-Options nosniff; } # 其他location配置如PHP-FPM处理 location ~ \.php$ { include snippets/fastcgi-php.conf; fastcgi_pass unix:/run/php/php8.1-fpm.sock; } # 静态文件服务通用配置 location / { try_files $uri $uri/ /index.php?$query_string; } }4.2 性能、安全与可维护性考量性能正则表达式匹配如location ~* \.(jpg|jpeg|png...)$虽然方便但比前缀匹配location /images/开销稍大。如果被保护的资源目录结构清晰使用前缀匹配性能更优。防盗链检查本身对性能影响很小。安全Referer防盗链是基础手段容易被专业爬虫或攻击者绕过设置空的或伪造的Referer。对于高价值资源付费内容、独家视频务必考虑签名URLSecure Link或用户认证等更强机制。可维护性将合法的Referer来源列表valid_referers提取到Nginx的map块或单独的可加载文件中可以使主配置更清晰也便于后续增删白名单。http { map $http_referer $is_valid_referer { default 0; ~*\.yourdomain\.com 1; ~*\.google\. 1; ~*\.baidu\. 1; # ... 更多 1; # 允许空Referer } # 然后在location中直接使用 if ($is_valid_referer) ... }灰度与监控在全面应用严格的防盗链规则前可以先在测试环境或对少量非关键资源进行配置观察日志确保不会误杀正常请求。上线后定期监控Nginx的访问日志和错误日志关注403状态码的突然增多这可能是新出现的盗链源或配置需要调整的信号。5. 疑难排查与效果验证实录即使配置看起来正确在实际运行中也可能遇到各种问题。这里记录几个我遇到过的典型场景和排查思路。问题1配置了禁止IP访问但用IP访问依然能看到网站内容。排查检查配置中是否使用了default_server参数。没有它Nginx可能将IP请求交给了另一个Server块处理。检查是否有其他Server块也在监听80/443端口且没有指定server_name或指定了_。default_server只能有一个。执行sudo nginx -T查看所有加载的配置确认你的拦截配置确实被加载且优先级正确。清除浏览器缓存和DNS缓存再测试有时旧连接会被缓存。问题2防盗链配置后网站自身的图片也显示不出来了出现403或默认图片。排查检查valid_referers列表是否包含了你的网站域名。注意协议http/https和子域名www/non-www都要匹配。检查网站页面中图片的引用地址是相对路径还是绝对路径。如果是绝对路径其域名是否在白名单内。使用浏览器开发者工具查看加载失败的图片请求的Request Headers确认Referer头的值是什么。很可能它和你预想的不一样例如页面是HTTPS但图片链接是HTTP导致Referer被剥离。临时将valid_referers第一项改为none blocked server_names *;允许所有进行测试。如果图片能显示再逐步收紧规则找出被拒绝的具体来源模式。问题3来自搜索引擎、社交媒体App的分享链接图片无法显示。原因与解决许多App或社交平台的内部浏览器、预览器发送的Referer头可能很特殊、为空或被修改。你需要将这些已知的、合法的来源加入白名单。这通常是一个持续的过程需要根据日志不断补充。例如微信的Referer可能包含weixin或micromessenger。问题4如何测试防盗链是否真的生效本地测试在一个简单的HTML文件中用img src\http://你的域名/图片.jpg\引用你的图片然后在浏览器中直接打开这个本地HTML文件。由于file://协议打开的页面发送的Referer通常为空或特殊如果你的配置不允许none图片应该被拦截。在线测试可以利用一些在线“引用检查”工具或者自己写一个简单的在线HTML页面托管在另一个域名下来引用你的图片观察是否能看到。配置Nginx的访问控制是一项细致的工作它需要在安全、用户体验和功能之间找到平衡。从基础的IP拦截和Referer检查入手再根据实际面临的威胁和资源价值逐步引入签名、限流等更高级的策略才能构建起一道既有效又不“误伤友军”的坚固防线。每次修改配置后养成用nginx -t测试语法和在小范围验证的习惯是保证线上服务稳定的关键。