云锁防盗链与静态资源防护图片CSS,JS 被外站引用怎么拦又不误伤搜索引擎

一、现象与定性：8214 条日志到底是什么

防护日志里 2026-11-11 ~ 11-12 共 8214 条、83 页（单页 100 条），几乎全是「防盗链 / 盗链防护(会话方式) / 已被拦截」。典型一条：

2026-11-12 22:33:27  防盗链  113.24.225.235(中国山西长治)
访问 www.511yj.com/wp-content/uploads/2016/07/511yujian25.jpg
触发规则：盗链防护(会话方式)，已被拦截。
(http://www.cnblogs.com/xiager/p/6855533.html 正在盗链您的资源)

同一秒里 .235 / .29 / .73 / .96 各来一条、全是 511yujian*.jpg —— 这是一个外部页面里嵌了四张图，浏览器并发加载，不是四个攻击者。波兰、法国、美国、大连、南京那些 IP 同理，是外站读者点开旧文、图片缓存服务、爬虫各来一次。

所以真正能做的，不是让请求消失（只要对方 HTML 还指向 www.511yj.com，DNS 就解析到你 ECS，TCP 就得建一次），而是决定「它来时这台机器用多小的代价把它打发掉」。

二、先分清三层，不然一定改错地方

关键认知：防盗链不是「拒收」，是「收进来、判一下、再回一个拦截页」。所以它会占一点 CPU 和出站带宽，但没有把真图供出去。云锁在 Apache 之前，带外站 Referer 的请求已经被它截了，根本到不了 .htaccess —— 所以新加的 Apache 规则是双保险，补的是「云锁被切回监控模式 / 漏判 / 空 Referer」那部分，不追求在 curl 里看到 403。

三、云锁「网站防盗链」：例外名单是放行列表，不是黑名单

设置页那份「网站例外名单」里原有七条：

baidu.com   so.com   sogou.com   bing.com   bbs.511yj.com   weibo.com   qq.com

标题写得清楚：「加入到例外名单的项，不再受此功能的保护」。也就是这七条是允许的来源（给搜索引擎收录、微博 / QQ 分享、自己 bbs 子域看的）。cnblogs 不在里面，所以博客园那篇取图被拦 —— 和日志完全对得上。

• 七条一条都别删：删了会误伤 SEO 收录和 bbs 引用主站资源。
• 绝不加 www.cnblogs.com：目标是拦，不是放行。上一轮把「放行 cnblogs」摆成选项是跑偏的。
• 不勾「允许空 Referer / 允许直接访问」（如果面板有这一项）。
• 「拦截信息提示」那个长文本框只是 HTML 页里的文案，清空或改成短词可以让拒绝更便宜；不影响拦截逻辑。右下「恢复默认配置」别点，一点把所有例外全清。

为什么 CSS / JS 也会被外站用

防盗链默认按 Referer 判「图片等资源」，对 .css / .js 这类静态文本资源检查常偏松；再加上 ExpiresByType text/css "access plus 1 year"，外站一旦把 <link> 引进去，浏览器缓存一年，二次请求甚至不带 Referer。三种漏口：

1. 请求不带 Referer（直接 script src / link，或缓存后不再发 Referer）
2. 用了 rel="noreferrer" / Referrer-Policy: no-referrer
3. 来源站被列进了例外名单（cnblogs 不在，所以这条不成立）

云锁这层加不了严：它的防盗链设置里只有「例外名单 + 拦截信息提示」，没有「文件类型」「空 Referer」开关。要按后缀锁死 css/js，只能靠下面的 .htaccess。

四、Apache 层：最终版 .htaccess 片段

先答一个常问的：<IfModule mod_rewrite.c> / RewriteEngine On / RewriteBase / 这三行不是要新增的东西，是文件里 # BEGIN WordPress 下面早已存在的外壳。别再新起一个块，直接把规则插进现有块内部。

精确插入点：两条裸域 301 之后、RewriteRule ^index\.php$ - [L] 之后、/weixin/ 与 Super Static Cache 之前。原因：301 要最先把 Host 统一；缓存那两条 [L] 会终止本轮重写，规则放它后面就永远跑不到。

# ---- HTTP → HTTPS + www（原有，不动）----
RewriteCond %{HTTPS} off
RewriteCond %{HTTP_HOST} ^(www\.)?511yj\.com$ [NC]
RewriteRule ^(.*)$ https://www.511yj.com%{REQUEST_URI} [L,R=301]

# ---- HTTPS 但仍是裸域 → 补跳 www（原有，不动）----
RewriteCond %{HTTPS} on
RewriteCond %{HTTP_HOST} ^511yj\.com$ [NC]
RewriteRule ^(.*)$ https://www.511yj.com%{REQUEST_URI} [L,R=301]

RewriteRule ^index\.php$ - [L]

# ===== 静态资源防盗链（最终版，就放这里）=====
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www\.)?511yj\.com/ [NC]
RewriteCond %{HTTP_REFERER} !^https?://bbs\.511yj\.com/ [NC]
RewriteCond %{HTTP_REFERER} !^https?://([a-z0-9-]+\.)?(baidu|so|sogou|bing|weibo|qq)\.com(\.cn)?/ [NC]
RewriteCond %{HTTP_REFERER} !^https?://([a-z0-9-]+\.)?google\.(com|com\.hk|co\.jp|co\.uk|cn)(\.[a-z]{2})?/ [NC]
RewriteRule \.(jpe?g|png|gif|webp|ico|svg|css|js|woff2?|ttf|eot|otf)$ - [F,NC]

# ===== /weixin/ 动态取件目录（原有，不动）=====
RewriteRule ^weixin/ - [L]

# ===== Super Static Cache 开始（原有，不动）=====

这一版定死的几件事

五、Google 怎么加：两边写法不一样，别填串

1）云锁防盗链例外 —— 填「裸域名」

1. 应用防护 → 网站防盗链 → 白名单设置 / 例外名单
2. 点「新增」，输入框逐条填：google.com
3. 点「加入例外 / 确定」，回到设置页再单独点一次「保存」
4. 先只加这一条，观察两天防护日志里还有没有 google... 被拦，有再补 google.com.hk

格式：裸域名，不带 https://、不带路径、不带端口、不带星号。多数面板对 google.com 会连带匹配 www.google.com 这类子域。

2）.htaccess —— 用上面的两行版

即「原 7 家」一条 + 「Google 多后缀」一条并列，别两条都塞进同一个括号里图省事。Google Search Console 的「抓取诊断」测不出这两行加没加对：Googlebot 通常不带 Referer，走的是 !^$ 那条。要验就用下面手工带 Referer 的 curl。已收录链接不用重新提交、不用改 robots.txt、不用动 sitemap。

六、验证：命令与判读

先备份。.htaccess.bakN 会被 <FilesMatch "^\.ht"> 挡住，不会被下载。.htaccess 即时生效，不用重启 Apache。

copy C:\xampp\htdocs\.htaccess C:\xampp\htdocs\.htaccess.bak5

ECS 上把 probe 放回去（这台机器 curl.exe 被本机拦截，只用 CMD 内置命令）：

mkdir "C:\xampp\htdocs\.well-known\acme-challenge" 2>nul
echo ok> C:\xampp\htdocs\.well-known\acme-challenge\probe.txt

在本地电脑（zcp52）跑，全部完整 URL、无省略号：

curl.exe -s -o nul -w "self=%{http_code} %{content_type}\n" -H "Referer: https://www.511yj.com/" "https://www.511yj.com/wp-content/themes/aldehyde/style.css?ver=1791971959"
curl.exe -s -o nul -w "baidu=%{http_code} %{content_type}\n" -H "Referer: https://image.baidu.com/" "https://www.511yj.com/wp-content/themes/aldehyde/style.css?ver=1791971959"
curl.exe -s -o nul -w "google_com=%{http_code} %{content_type}\n" -H "Referer: https://www.google.com/" "https://www.511yj.com/wp-content/themes/aldehyde/style.css?ver=1791971959"
curl.exe -s -o nul -w "google_hk=%{http_code} %{content_type}\n" -H "Referer: https://www.google.com.hk/" "https://www.511yj.com/wp-content/themes/aldehyde/style.css?ver=1791971959"
curl.exe -s -o nul -w "cnblogs=%{http_code} %{content_type}\n" -H "Referer: https://www.cnblogs.com/" "https://www.511yj.com/wp-content/themes/aldehyde/style.css?ver=1791971959"
curl.exe -s -o nul -w "empty=%{http_code} %{content_type}\n" "https://www.511yj.com/wp-content/themes/aldehyde/style.css?ver=1791971959"
curl.exe -s -o nul -w "acme=%{http_code} %{content_type}\n" "https://www.511yj.com/.well-known/acme-challenge/probe.txt"

self 不是 200，或 acme 不是 200，就回退，即时生效：

copy C:\xampp\htdocs\.htaccess.bak5 C:\xampp\htdocs\.htaccess

测完删掉 probe.txt。

七、ACME 例外：和防盗链弹窗长得像，但不是一回事

之前给「网站漏洞防护」和「抗CC攻击」加的 */.well-known/acme-challenge/ 是路径例外，按功能隔离，防盗链不认。实测 www / bbs 两条 probe 都是 200 text/plain 4。目录平时不存在是正常的 —— wacs 续期时自己 mkdir → 写无扩展名 token → 验证完删掉，例外名单存的是路径字符串，不要求目录当前存在，直接手打即可。

抗 CC 阈值是 60 秒 200 次 / 锁定 300 分钟，三个域名一共几个 GET 连零头都够不到，「脚本验证跳转方式 HTTP 200 / 302」保持默认 200 别动 —— 真被挑战，两种都拿 HTML 而不是 token，关键从来是别触发。

八、顺带核查过的云锁设置：全部保持原样

累计拦截攻击次数 117.10 万次 是这台机器云锁所有防护的全局累计，不是某一功能、更不是今天的新故障；「今日拦截 5138 / 5220 次」才是当天量。别被大数吓到去调参。CPU 平时低于 10%、内存 70% 主要是 httpd 1.1~1.2 GB（mod_php 内存池只申请不归还），跟这些勾选无关，别为内存去关防护。

九、踩坑清单

十、命令速查

十一、不动清单与边界

• 不加 cnblogs、不删原有七条、不勾允许空 Referer、不上 B 版、不整体关防盗链。
• 其余全不动：两条裸域 301、证书（2026-11-12 00:36 落地，下次自动续期 2027/1/5）、ECN disabled、junction、Certificates_bak、两处 ACME 例外、抗 CC、防端口扫描阈值、监控/防护模式。
• ACME 的 /.well-known/acme-challenge/ 会被裸域 301 带到 www，LE 允许跟随 301、junction 让两边读同一份文件，1/5 自动续期不受这轮任何改动影响。
• 别人 HTML 里那行 img / link 删不了，请求还是会来；能做的是让「不认自己人」的请求在尽量靠前的位置被便宜地拒掉。真「本机零处理」只有把图片 / CSS 迁到带 Referer 黑名单的 CDN / OSS，那是改媒体库 URL 的大工程，不是这次做的。
• 抓取结果里那些「资源解析服务请求失败」：畸形 www.511yj.com%、W3C XHTML DTD、style.css 的「网站防火墙」旧留存、首页正文快照，全是抓取通道超时或历史留存，不是站点状态，别当新线索。

记录时间：2026-11-12 · 三份笔记之三（证书续订 / 裸域 301 / 防盗链）