随着网站流量增长和用户分布国际化，图片盗链（hotlinking）不仅浪费带宽，还可能引发版权和安全问题。本文面向站长、企业用户与开发者，系统讲解通过 CDN 与服务端协作防止图片盗链的常用策略、实现细节与选购建议，帮助你在部署香港服务器、美国服务器或其他海外服务器（如日本服务器、韩国服务器、新加坡服务器）时，确保静态资源安全与性能兼顾。
原理概述：图片盗链为什么会发生，CDN 如何介入
图片盗链本质上是第三方站点直接引用你站点的图片 URL，从而消耗你的带宽。CDN 在此场景中承担两类职责：一是作为边缘缓存，减少源站带宽压力；二是作为访问控制的执行点，拦截非法请求。常见执行机制包括基于 Referer 的白名单、基于签名/Token 的短期 URL、签名 Cookie、以及边缘函数（Edge Functions）做更复杂的鉴权与变换。
基于 Referer 的简单防护
这是最常见且成本最低的方式。CDN/源站校验 HTTP Referer 头，只允许来自本站或白名单域名的请求。优点是实现简单，缺点是 Referer 可被伪造，且部分用户或代理会屏蔽 Referer 导致误判。
在 Nginx 中可用 valid_referer 指令，例如：valid_referer none blocked server.hk *.server.hk yourdomain.com; 不满足条件可返回 403。
基于签名（Token/URL 签名）的防盗链
签名是行业内更可靠的方法。思路是在生成图片 URL 时附带基于密钥的签名和过期时间，CDN 在边缘校验签名并拒绝无效路由请求。适合高价值图片、需要防止直接访问原始 URL 的场景。
常见模式：
- 短期签名 URL：URL 带有 expires 与 signature 参数，过期后无效。
- 签名 Cookie：通过登录或特定接口下发签名 Cookie，边缘检测 Cookie 合法性，适用于批量请求场景。
- URL HMAC：使用 HMAC-SHA256(secret, path + expires) 生成 signature。
实现细节提醒：签名算法与密钥需在 CDN 边缘与源站统一配置；URL 参数要通过 HTTPS 传递以防中间人修改。
边缘函数与自定义逻辑
现代 CDN（例如支持边缘脚本的产品）允许在边缘运行 JavaScript/WASM，根据请求头、IP、UA、Referer、Cookie、Geo 做复杂校验或动态返回占位图、限速、或重写 URL。这对于需要对不同国家（如香港、美国、日本、韩国、新加坡）用户采用不同策略的站点非常有用。
实战配置示例（思路+注意事项）
以下为可在不同环境下采用的组合措施，按“安全强度”从弱到强排列：
1. 基础防护：Referer 白名单（适合小站）
步骤：在 CDN 控制台或源站（如 Nginx）配置允许的域名列表，并对非法 referer 返回 403 或重定向占位图。优点实现快，缺点防护较弱。
2. 中级防护：签名 URL + 缓存策略
步骤：后端生成带 expires 与 signature 的图片链接；CDN 在边缘校验签名后缓存并返回资源。配合合适的 Cache-Control（如 max-age 与 stale-if-error）可以降低源站压力。注意签名有效期不能过长以防泄露。
3. 高级防护：签名 Cookie + Edge Rules
当用户需频繁访问大量图片（如图库、媒体服务），建议采用签名 Cookie 来避免频繁签名 URL，同时在边缘利用规则按 IP、Geo 限制速率并记录异常。可配合 WAF 规则阻断爬虫。
4. 结合图片优化与权限管理
防盗链配置应与图片格式转换、压缩、WebP/AVIF 自动转码结合。使用 CDN 的图片服务时，确保对原始图片加密存储于源站（例如香港服务器或美国服务器），并通过受保护的 CDN 域名对外提供服务。
部署中的具体配置要点与示例
下面列出常见平台/组件的注意事项与伪配置要点（书写为便于在 Classic 编辑器中复制）：
- Nginx 源站示例要点：使用 valid_referer；对签名校验可以嵌入 Lua（OpenResty）实现 HMAC 校验；确保 headers（如 X-Forwarded-For）在 CDN 与源站之间正确传递。
- CDN 签名设置：统一 secret、选择合适的签名算法（SHA256/HMAC），配置边缘缓存 key（包含 path + query 或剔除 signature），避免签名参数导致缓存击穿。
- HTTPS 强制：所有图片应该通过 HTTPS 提供，防止中间人修改 URL 或参数。
- Rate Limiting 与 Bot 控制：在 CDN 边缘设置速率限制与 WAF，配合日志采集（如边缘日志或自定义日志）用于分析盗链来源。
- Geo 限制：结合业务可只允许部分国家访问原图（例如仅允许香港或美国访问原始大图，其他地区提供压缩版本），这在多区域部署（香港VPS、美国VPS）场景下尤其有价值。
应用场景与优势对比
不同防护策略适用于不同业务：
- 小型博客/企业官网：可优先采用 Referer 白名单 + CDN 缓存，部署成本最低。
- 媒体站、图片库：推荐签名 URL/签名 Cookie + Edge Rules，能在保护版权的同时保持性能。
- 全球分发场景（香港服务器做源、美国/日本/韩国节点评估）：结合地理路由与缓存策略，优化用户体验并减少跨境流量成本。
就稳定性与灵活性而言，使用支持边缘函数与可控签名机制的 CDN 最为理想；若使用传统 CDN，则需在源站（如部署在香港VPS 或 美国VPS）做好相应的校验与密钥管理。
选购建议：如何结合服务器与 CDN 做出抉择
选购时考虑以下维度：
- 用户分布：若主要用户在东亚，优先选择香港服务器或日本/韩国/新加坡的节点作为源或近源缓存；若北美为主，选择美国服务器或美国VPS。
- 合规与延迟：跨境数据传输需考虑合规（隐私/版权）；香港服务器通常延迟亚洲用户低而对国际出口友好。
- CDN 功能：优先选择支持签名 URL、签名 Cookie、边缘函数与详细日志的产品，便于实现精细防护与审计。
- 运维便利：如果你倾向自建，选择支持 Lua/OpenResty 的 Nginx 在源站实现签名校验；如果希望托管式体验，选用具有管理面板的 CDN 服务。
总结
防止图片盗链需要在安全与性能之间取舍。对于大多数站点，推荐采用签名 URL（或签名 Cookie）+ CDN 边缘校验作为核心策略，辅以 Referer 白名单、Geo 限制与速率控制。技术实现可以在源站（如香港服务器、美国服务器或海外服务器）使用 Nginx/OpenResty 做签名生成功能，CDN 负责边缘校验与缓存。
如果你需要一站式部署或想评估合适的服务器与 VPS 组合，可以参考我们的服务器产品页面，搭配 CDN 策略能更好地保护静态资源并提升全球访问体验：香港服务器产品。更多海外节点选择亦可查看香港VPS、美国VPS 等方案，并根据用户分布选择日本服务器、韩国服务器或新加坡服务器等位置。
