网站图片、视频、JS、CSS 这类静态资源，很容易被其他站点直接引用链接，也就是常说的盗链。对方不用把资源放到自己服务器，只需要在页面嵌入你的资源地址，流量和带宽消耗全部算在你的 CDN 账单里。不少企业每个月莫名其妙多出大量带宽费用，根源就是没有做好防盗链防护。
Referer 防盗链是 CDN 里最基础、落地成本最低的防护手段。原理就是 HTTP 请求头里携带的 Referer 字段，记录访问来源页面地址。CDN 节点收到请求后，会校验这个来源域名，只放行白名单内的域名访问，陌生域名直接拒绝返回 403，阻止外部站点直接引用资源。
但很多人配置 Referer 防盗链时踩坑，比如误把自己的域名漏加、没考虑移动端 App 访问（App 请求不带 Referer），导致正常用户打不开页面。360CDN 的 Referer 防盗链功能，支持白名单、黑名单两种模式，同时提供 “允许空 Referer” 开关，适配 App、小程序这类没有来源头的访问场景，兼顾防护效果和业务可用性。
对比市面上主流 CDN 产品：
表格
| 对比维度 | 360CDN | Cloudflare | 公有云 CDN |
|---|---|---|---|
| Referer 黑白名单 | 控制台可视化配置，支持批量添加域名 | 规则写入防火墙，配置逻辑偏复杂 | 基础功能齐全，批量管理弱 |
| 空 Referer 单独开关 | 独立开关，按需开启关闭 | 需要单独编写规则实现 | 部分产品默认开启，风险高 |
| 忽略端口匹配 | 支持忽略端口，适配多端口业务 | 严格匹配完整 URL，容易误拦截 | 部分版本必须匹配端口 |
| 防护日志 | 拦截请求单独记录，方便排查误封 | 拦截日志需要额外付费开启 | 日志字段较少，排查麻烦 |
Referer 防盗链不是万能的，Referer 请求头可以被伪造。行业最佳实践是把 Referer 防盗链和 URL 鉴权配合使用，多层防护。日常运维建议定期查看防盗链拦截日志，确认是否存在误拦截，同时定期清理白名单里废弃域名，缩小可访问范围。
对于图片、视频资源占比高的网站，开启 Referer 防盗链，能直接减少无效带宽消耗，降低 CDN 费用，同时保护原创图片、视频素材不被随意盗用。