请说明图片防盗链机制的工作原理，例如当网站A引用网站B的图片时，B的服务器是如何判断并阻止这种跨站引用的？

回答思路

1. 【回答框架 1】防盗链的核心是基于HTTP请求头中的Referer字段。当浏览器加载图片时，请求头会携带当前页面的来源地址，服务器通过校验该字段来判断请求是否来自本站允许的域名。
2. 【回答框架 2】通常是Web服务器或应用层读取Referer，与配置的白名单域名列表做比对，若域名不匹配或Referer为空，则返回错误状态码或替换图片，例如返回403或一张警示图。
3. 【回答框架 3】常见实现方式包括Nginx的valid_referers指令、Apache的Rewrite规则，或后端应用代码中手动校验。限于Referer可被伪造，通常用于低成本防护。
4. 【回答框架 4】更严谨的防盗链还可以结合Token签名、IP校验或时间戳，但会增加复杂度。实际方案中可能还会考虑CDN或对象存储自带的防盗链配置。
5. 【回答框架 5】图片防盗链主要限制浏览器直接跨域引用，不阻止爬虫或模拟请求，因此不能作为安全边界，只降低资源被盗用的概率。
6. 【关键点 1】原理是校验HTTP Referer头来源域名是否属于白名单。
7. 【关键点 2】空Referer（如直接访问或某些隐私设置）常被放行或拦截，需按策略配置。
8. 【关键点 3】Nginx可用valid_referers配置，后端也可自行判断。
9. 【关键点 4】防盗链可被伪造Referer绕过，仅属于常规防护手段。
10. 【关键点 5】结合签名或授权机制可提升防护强度，但成本更高。
11. 【易错点 1】认为Referer防盗链是绝对安全措施，忽略其可伪造性。
12. 【易错点 2】未处理空Referer请求导致合法访问（如浏览器直接输入地址）被误拦截。
13. 【易错点 3】将防盗链与完整身份认证混淆，它无法替代用户权限控制。