CDN 资源防盗链实操：出海音视频、安装包防止盗刷流量，Referer 与时间戳 Token 配置指南

不少出海项目遇到过这种现象：业务 DAU 平稳，CDN 流量却成倍上涨，图片、视频、安装包带宽消耗居高不下。排查日志发现大量请求来自外部陌生域名，就是典型的资源盗链。如果只依靠源站 Nginx 做防盗链，盗链请求依旧全部回源，会打满源站带宽。正确方案是在 CDN 边缘节点完成鉴权拦截。本文对比防盗链方案选型，给出配置思路、时间戳签名示例、Nginx 兜底配置以及厂商能力对比表。

一、出海业务常见盗链场景

第三方网站直接嵌入我方图片、宣传素材，占用海外 CDN 流量；
手游安装包、资源包链接被公开到论坛，大量非目标用户下载；
短视频、点播资源链接被抓取转发，造成带宽成本暴增；
爬虫批量抓取全部图片、静态文件，消耗大量节点带宽。

二、三种 CDN 防盗链技术选型对比

Referer 防盗链 优点：配置简单，适合网页端图片资源；缺点：Referer 可被伪造，对 APP、小程序场景无效。
IP 黑白名单防盗链 优点：直接拦截指定来源 IP；缺点：用户 IP 动态变化，适合封禁固定恶意爬虫节点，不适合普通业务。
URL 时间戳 Token 防盗链（高价值资源推荐） 访问 URL 携带时间戳 + 加密签名，CDN 边缘校验签名以及链接有效期，链接过期直接 403。APP、视频、安装包业务首选，难以伪造，安全性最高。

三、时间戳 Token 防盗链原理简述

访问 URL 格式示例： https://cdn.demo.com/res/package.apk?ts=1780000000&sign=xxxxxx

业务服务端使用密钥、时间戳、资源路径计算加密 sign；
返回带参数的资源 URL 给到客户端；
请求到达 CDN 边缘节点，使用相同密钥重新计算签名比对；
签名不匹配 / 时间戳过期，直接返回 403 拒绝访问。

四、Nginx 源站兜底防盗链配置（仅作为二次防护，不能替代 CDN 鉴权）

复制代码

# Referer简易防护
valid_referers none blocked server_names *.demo.com;
if ($invalid_referer) {
    return 403;
}

location ~* \.(apk|mp4|jpg|jpeg|png)$ {
    # 源站只允许CDN回源节点IP访问资源
    allow 10.0.0.0/8;
    deny all;
}

重要提醒：源站 Nginx 防盗链无法处理已经缓存在 CDN 节点上的资源，核心防盗链逻辑必须放在 CDN 边缘 。修改配置务必执行nginx -t校验语法。

五、主流 CDN 防盗链能力对比

对比维度	360CDN	Cloudflare	传统公有云 CDN
Referer 防盗链	可视化配置，支持黑白名单	免费版支持 Referer	支持配置
URL 时间戳 Token 防盗链	套餐内置，控制台直接开启	仅企业版开放	支持，配置复杂
音视频点播防盗链适配	适配 HLS/MPD 点播资源	企业版支持	部分海外节点兼容差
盗链访问统计报表	边缘访问日志可统计盗链来源	企业版才可完整日志	日志查询繁琐
上手难度	配置文档完善，可视化操作	高阶功能门槛高	参数多，调试成本高

六、出海落地最佳实践总结

网页图片素材：优先开启 Referer 防盗链，设置允许的业务域名；
APK 安装包、短视频、付费素材：务必开启时间戳 Token 防盗链，设置合理链接有效期；
不要只依赖源站 Nginx 做防盗链，拦截逻辑下沉 CDN 边缘，避免回源被打满；
定期查看 CDN 访问日志，发现陌生大量盗链来源，配合 IP 黑名单辅助拦截；
业务上线阶段就完成防盗链部署，避免后期流量成本不可控。