如何在.htaccess中限制带?file=的文件访问？求助配置失效问题

嘿，我来帮你搞定这个防盗链的问题！你之前的配置有几个关键问题导致没生效，咱们一步步修正：

原来配置的问题点 #

• 指令顺序错误：RewriteEngine On必须放在所有Rewrite规则和条件的最前面，否则后续的RewriteCond和RewriteRule不会被处理。
• Referer匹配逻辑不准确：你写的!^domain.com$只会拒绝Referer恰好是domain.com的请求，但实际浏览器发送的Referer通常是带http://或https://前缀的（比如https://domain.com/xxx），所以这个规则根本匹配不到真实的盗链请求。
• 规则目标错误：你的RewriteRule是匹配URL路径里的file字符串，但你要限制的是查询参数里的?file=，所以得用查询字符串变量来判断。

正确的Apache Rewrite配置 #

把下面的配置放到你的.htaccess文件或者Apache虚拟主机配置里：

RewriteEngine On

# 可选：允许无Referer的直接访问（比如用户直接在浏览器输入URL）
# 如果不需要直接访问，可删除这两行
RewriteCond %{HTTP_REFERER} ^$
RewriteRule ^inscription/.*$ - [L]

# 1. 检查Referer是否不来自你的自有域名（支持http/https，www可选）
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?domain\.com/ [NC]
# 2. 检查查询参数中是否包含file=
RewriteCond %{QUERY_STRING} file= [NC]
# 3. 对符合条件的请求返回403禁止访问
RewriteRule ^inscription/.*$ - [F,NC,L]

配置说明 #

• RewriteEngine On：开启URL重写引擎，必须放在最开头。
• 第一组规则（可选）：允许没有Referer的请求通过，适合用户直接输入URL访问的场景。
• %{HTTP_REFERER} !^https?://(www\.)?domain\.com/：匹配所有Referer不是来自domain.com（包括http/https、带www或不带www）的请求，NC表示不区分大小写。
• %{QUERY_STRING} file=：检查查询字符串中是否包含file=参数，不管参数值是什么。
• [F,NC,L]：F返回403 Forbidden状态码，NC不区分大小写，L表示执行完这条规则后停止后续规则处理。

测试方法 #

你可以用curl命令模拟不同Referer的请求来验证：

# 正常允许的请求（来自自有域名）
curl -H "Referer: https://domain.com/" "https://domain.com/inscription/?file=test.txt"

# 被拦截的盗链请求（来自外部域名）
curl -H "Referer: https://other-site.com/" "https://domain.com/inscription/?file=test.txt"

注意事项 #

• 确保Apache的mod_rewrite模块已经启用（可以通过a2enmod rewrite命令开启）。
• Referer是可以被伪造的，这个方法只能阻止普通的盗链，无法应对恶意伪造Referer的情况。

内容的提问来源于stack exchange，提问作者Bharat Sharma