IIS防盗链配置风险提示_Apache IIS设置防盗链教程详解
网站运维中，URL重写和访问控制是两个高频操作场景。防盗链规则基于Referer判断，但部分浏览器或客户端（如微信内置浏览器、某些APP）不发送Referer，导致正常用户也被防盗链拦截。网站的图片、视频、下载文件被其他网站直接引用，消耗大量服务器带宽，导致自己的网站访问变慢且流量费用增加。
梳理过数百个故障工单后发现，这类问题的成因有规律可循。虚拟主机的.htaccess被空间商禁用，用户上传的防盗链规则不生效，需要通过空间商控制面板的"防盗链"功能配置。防盗链规则中使用了严格的Referer匹配（如必须以http://开头），HTTPS站点的Referer是https://开头，导致HTTPS页面的请求被误拦截。防盗链规则匹配的文件后缀列表不完整，只写了jpg和png，没有写gif、webp、svg等格式，导致部分图片格式没有被防盗链保护。防盗链规则中没有排除搜索引擎蜘蛛的图片抓取，导致百度图片、谷歌图片搜索无法收录网站图片，影响图片搜索流量。Apache的防盗链规则中没有允许空Referer，部分浏览器（如HTTPS到HTTP的跳转、隐私模式）不发送Referer头，导致这些请求被防盗链拦截，图片无法显示。防盗链白名单域名中只写了example.com，没有写www.example.com，或反过来，导致带www和不带www的其中一种形式被误拦截。
从客户端到服务器端，逐层排查能快速定位问题。Apache防盗链允许搜索引擎：在RewriteCond中添加蜘蛛UA例外，RewriteCond %{HTTP_USER_AGENT} !^.*(Googlebot|Baiduspider|bingbot|Sogou|360Spider).*$ [NC]，确保图片搜索蜘蛛能正常抓取。CDN环境：在CDN控制台配置"防盗链"功能，设置Referer白名单，CDN层面直接拦截盗链请求，不需要回源，性能更好；同时配置CDN缓存规则，不要缓存403响应。Apache防盗链显示替代图片：将[F,NC,L]改为[R=301,L]，目标指向替代图片URL，如RewriteRule .(jpg|png|gif)$ https://www.example.com/images/nohotlink.jpg [R=301,L]，盗链网站显示提示图片而非403。Apache .htaccess图片防盗链：RewriteEngine On
RewriteCond %{HTTP_REFERER} !^$ [NC]
RewriteCond %{HTTP_REFERER} !^https?://(www.)?example.com/ [NC]
RewriteRule .(jpg|jpeg|png|gif|webp|svg|bmp)$ - [F,NC,L]，!^$允许空Referer，!^https?://(www.)?example.com/允许本站域名（含http/https和www/非www）。验证规则：在其他网站的HTML中引用你的图片URL，访问该页面如果图片不显示（403）或显示替代图片则防盗链生效；在自己网站访问确认图片正常显示；用curl -e "https://www.other.com/" https://www.example.com/image.jpg测试返回403。允许空Referer：规则中必须包含允许空Referer的条件（Apache中RewriteCond %{HTTP_REFERER} !^$，IIS中
从更广泛的运维视角来看，还有一些容易被忽略的诱发因素。规则的执行顺序错误，宽泛的匹配规则放在前面拦截了后面更精确的规则。防火墙或安全组拦截了相关端口或请求，导致规则测试时无法正常访问。
实际操作中还需要注意以下细节。测试规则时先在测试环境验证，确认无误后再应用到生产环境。伪静态规则中避免使用过于宽泛的匹配，防止误拦截正常页面。防盗链规则配置后，用不同来源的请求测试，确保正常访问不受影响。IP屏蔽规则建议使用CIDR格式，既能精准屏蔽又不会误封正常用户。伪静态规则修改后需要重启IIS或Apache服务，新规则才能生效。
除了上述问题，实际运维中还可能遇到以下相关故障。IP屏蔽后正常用户也无法访问，可能是屏蔽范围过大，使用了过于宽泛的CIDR段。IP屏蔽规则在CDN环境下不生效，CDN回源IP被屏蔽导致所有用户无法访问，需要获取真实客户端IP。伪静态配置后页面404，多半是规则正则表达式不匹配或服务器未加载重写模块。
随着云服务器和CDN普及，部分规则可以在CDN层面配置，减轻源站服务器的处理压力。
更新时间：2026-08-26 22:05:08
上一篇：数据库_MySQL忘记密码排查