图片走加速后回源全 403 防盗链把节点拦了

接上图片加速之后有一半缩略图裂开，源站日志里能看到加速节点地址的请求，状态码清一色是 403。碰到这种情况，我一般先确认改动有没有真的生效。

原因不复杂，节点回源时来源头为空或者被换成节点自己的域名，源站白名单只认站点域名，回源请求就被判成盗链拦掉了，整批图都裂。

「回源 Referer」相关的日志我一般连着看前后五分钟，单看一条报错经常判断不出是哪一步失败。日志级别临时调高可以，记得改回去，长期开着既占磁盘又掩盖真问题。

proxy_set_header Referer $http_referer;
valid_referers none blocked server_names *.example.com;

权限不要一口气开到最大，先加到够用再往上试，范围小才好收。把复现步骤压到三条以内，交给同事也能跑出来，才算真的定位清楚。

具体做法是，让回源请求把访客的原始来源头完整透传过去；把加速节点自己的那个回源标识也加进白名单；空来源单独放行 只给加速回源的流量开一个口子。

最后用这个标准收尾，回源日志里的 403 全部消失，站内所有缩略图也都恢复正常显示。