Nginx三大安全模块实战：防盗链、防伪造与防IP欺骗

1. 从零解析Nginx三大安全模块的攻防实战

搞Web安全这些年，我见过太多因为基础防护没做好而翻车的案例。上周还有个朋友问我："为什么我的付费视频课程链接在百度网盘满天飞？"一看日志，全是Referer伪造和token盗用。其实Nginx早就内置了三把利剑来应对这些攻击，只是很多人没真正吃透它们的原理。

今天我们就来深度拆解Nginx的三大安全模块：referer防盗链、secure_link防链接伪造、realip防IP欺骗。这1672行C代码（referer模块683行 + secure_link模块367行 + realip模块622行）构成了Web服务的"黄金三角防御"，下面我会结合真实攻防案例和源码逻辑，带你掌握它们的实战用法。

2. 三大攻击手段与防御原理

2.1 Referer伪造与盗链攻击

去年我帮一个图片社区做安全审计时发现，他们60%的带宽都被盗链消耗了。攻击者直接伪造HTTP Referer头，把热门图片嵌入到自己的网站。普通用户访问攻击者网站时，浏览器会自动带上攻击者域名的Referer，但实际加载的是受害站的图片资源。

Nginx的referer模块通过哈希表实现白名单校验。当收到请求时，它会：

1. 提取Referer头中的域名部分
2. 计算哈希值并在内存中快速匹配
3. 未匹配到的请求返回403状态码

哈希表结构在ngx_http_referer_module.c中定义如下：

c复制typedef struct {
    ngx_hash_t       hash;
    ngx_hash_init_t  hash_init;
} ngx_http_referer_conf_t;

关键点：哈希桶大小建议设置为预期域名数的2倍。我在实际测试中发现，当负载达到70%时查询性能会明显下降。

2.2 链接伪造与token传播

某知识付费平台曾遇到典型案例：用户A购买课程后，把含token的下载链接分享到论坛。这个token本应是一次性的，但由于没有过期校验，导致被无限次使用。

secure_link模块的防御机制包含两个维度：

1. MD5签名验证：使用密钥+过期时间生成签名
2. 时间戳校验：检查链接是否已过期

核心校验逻辑在`ngx_http_secure_l