云联信息：对象存储防盗链，配错会把自己的用户挡在门外

一、先想清楚要保护什么

公开的图片、样式文件一般不需要防盗链，被引用反而增加曝光。需要保护的是付费内容、大文件下载、视频源文件。分类之后再配规则，避免一刀切。

二、Referer 白名单要留空位

白名单只填自己的域名，用户在微信、搜索引擎、合作站点打开时Referer不同，会被拦住。把常见来源补进白名单，或者允许空Referer，兼容性更好。

三、空 Referer 是双刃剑

允许空Referer能兼容直接输入网址的访问，但也让盗链者有机可乘，因为很多工具可以伪造空Referer。对高价值资源，宁可严格一点，用签名URL替代。

四、签名URL更适合临时授权

给合作方或者付费用户生成带过期时间的链接，到期自动失效，不需要维护IP白名单。生成逻辑放在服务端，密钥不下发到客户端。

五、子域名和协议要写全

白名单里只写主域名，www和m子域名会被拦。http和https也要分别写。这类细节最容易漏，配完务必用真实场景验证一遍。

六、配置后要回归测试

用浏览器直接访问、从自己的页面引用、从第三方站点引用，三种方式各测一次。只测一种，很可能把正常访问也拦掉了，而且不容易第一时间发现。

七、日志能帮助判断效果

开启访问日志，看被拦截的请求来自哪里。如果大量正常用户被拦，说明规则过严，需要调整。数据比猜测可靠。

八、带宽和流量要一起看

防盗链只是减少盗用，不能替代流量监控。配合访问频次限制，对异常高频的IP做限速，效果更好。

白名单要定期复核

合作站点下线、子域名停用，白名单里的条目却没删，保护范围会越来越宽。每季度核对一次白名单，把不再使用的来源移除，规则才保持有效。

错误提示要自定义

资源被拦截时返回的默认页面往往很难看，用户以为网站坏了。配置一个友好的提示页，说明资源需要授权访问，体验会好很多。

测试用独立桶

测试环境的桶也开了防盗链，但域名不同，经常把自己人挡住。测试桶单独配置，或者干脆不开防盗链，避免干扰联调。

成本和安全要平衡

限制过严会挡掉正常流量，限制过松等于没设。按资源价值分级：高价值资源严格校验，普通图片放宽限制，两头都能兼顾。

上线前做一次完整检查

用三种方式各访问一次：浏览器直接打开、从自己站点引用、从外部站点引用，确认每种情况的结果都符合预期。检查完把配置截图存档，下次调整时有对比依据。

云联信息【资深云服务专家微信：cloud7591】的建议是上线前先压测再扩容，凭经验估容量十次有八次估偏。