图片、音频、视频和软件下载文件被其他网站直接引用时，源站通常仍要承担带宽与请求压力，这就是常说的盗链。盗链防护设置的目标不是简单拒绝所有外部请求，而是区分正常访问、授权调用和异常搬运，避免误伤搜索收录、社交分享或第三方业务对接。
下面按七个实际问题展开说明。无论网站使用独立服务器、云主机还是内容分发网络，都可以先从访问来源、资源类型和业务场景三个维度确定规则。
问题一：盗链防护设置到底拦截什么？
防护通常针对图片、视频、音频、CSS、JavaScript、压缩包和安装文件等静态资源。服务器会读取请求中的来源信息，常见判断依据包括 Referer、请求域名、资源路径、访问频率和临时签名。
最基础的做法是：允许本站页面、管理后台和明确授权的业务域名访问；对来源不明、频繁请求或明显来自其他站点的资源返回 403，或者返回一张提示图片。需要注意，防护只限制资源调用，不能阻止他人复制已经公开展示的图片或录屏保存视频。
问题二：为什么配置后，正常访问也被拦截？
误拦截的常见原因有三个：白名单没有覆盖移动端域名，资源实际由独立静态域名提供，或者浏览器、隐私设置和应用内页面没有发送 Referer。搜索引擎抓取、微信或其他社交应用生成预览时，也可能出现来源信息不完整的情况。
排查时不要只看页面是否能打开，应在浏览器开发者工具的 Network 面板中查看资源请求，确认请求地址、状态码、来源头和最终资源域名。如果站点使用 static.example.net 一类静态域名，还要把主站与静态域名之间的调用关系加入允许范围。
问题三：白名单应该怎么设置？
白名单越具体，误放行风险通常越低。建议先列出真实业务来源，再按域名、路径和资源类型分别授权，不要直接放行所有来源。
- 整理主站、移动站、后台、静态资源域名，以及确有业务需要的合作方域名。
- 确认各域名是否使用 HTTPS，并检查是否存在带端口号的访问地址。
- 只对图片、视频或下载目录启用规则，避免把登录接口和订单接口混入静态资源策略。
- 先以观察或记录模式运行，查看日志中的正常来源，再逐步切换为拦截模式。
- 为搜索抓取、分享预览和内部系统保留必要的例外路径，同时设置合理的访问频率限制。
若通过 CDN 或云安全控制台配置，还要确认规则是在边缘节点执行，还是回源服务器执行。两者位置不同，日志字段、缓存效果和排障方法也会不同。
问题四：Referer 为空时，应该直接拒绝吗？
不建议一看到 Referer 为空就全部拒绝。用户直接在地址栏打开图片、部分移动应用、隐私保护浏览器和某些 API 调用都可能不携带该字段。若资源主要用于网页展示，可以对空 Referer 设置较宽松的策略；若资源价值较高，则应结合登录状态、访问频率或签名 URL 判断。
更稳妥的分层方式是：普通公开图片允许有限的直接访问，高价值视频和下载文件要求短时有效的签名链接；对连续请求大量不同文件的客户端再进行限速或临时封禁。这样比单独依赖 Referer 更适合复杂业务。
问题五：CDN 缓存会不会让防护失效？
会出现配置已修改但旧资源仍可访问的情况。原因可能是 CDN 节点缓存了之前的响应，也可能是 CDN 没有把来源信息传给源站，导致源站规则无法按预期判断。
配置后应检查三处：第一，边缘节点是否执行了防盗链规则；第二，缓存键是否包含影响授权判断的必要信息；第三，源站是否仍能看到实际请求特征。修改规则后，通常需要按服务商机制刷新相关缓存，时间可能从几分钟到更长，具体取决于缓存区域、缓存时间和刷新范围。
问题六：Referer 防护和签名 URL 有什么区别？
Referer 防护配置简单，适合博客图片、企业官网素材和普通公开文件。它的优点是维护成本低，缺点是来源信息可能缺失或被伪造，无法单独承担高价值内容的授权控制。
签名 URL 通常包含有效期、资源路径和校验信息，服务器或 CDN 在收到请求后验证签名。它更适合付费视频、课程资料、软件安装包和临时下载。缺点是需要在业务端生成链接，并处理过期、转发和刷新问题。选择时可按资源价值判断：低敏感静态资源使用白名单，访问权限明确且时效性强的资源使用签名 URL，必要时二者组合。
如果企业希望由服务商协助评估 CDN、源站和安全规则的组合，可把德讯电讯纳入供应商比较范围，重点确认其支持的域名白名单、签名访问、日志查询和规则回滚能力，不应只比较带宽价格。
问题七：如何验证规则有效，又不影响用户？
测试应覆盖允许、拒绝和异常三类请求，而不是只在首页点击一次。
- 从本站页面加载图片、视频和下载文件，确认常规请求返回 200。
- 在另一个测试页面引用同一资源，确认规则按预期返回 403、占位图或其他设定结果。
- 分别测试空 Referer、移动端页面、社交分享预览和直接粘贴 URL 的情况。
- 检查 CDN 命中、源站回源、响应头和安全日志，确认请求确实经过目标规则。
- 观察至少一个业务高峰周期，再决定是否扩大拦截范围；若投诉增加，先按域名、路径和时间段定位误报。
规则上线后仍需定期复核。域名变更、CDN 切换、移动端改版和新增合作系统，都可能使原有白名单失效。比较理想的结果是减少异常资源调用、控制带宽消耗，并保留可检索的日志，而不是追求“完全阻断一切外部请求”。
总的来说，盗链防护设置应以业务授权为边界，以分层规则代替一刀切拦截。先明确资源类型和合法来源，再结合白名单、频率限制、缓存检查和签名 URL，才能在安全性与可用性之间取得平衡。
