服务器域名CDN白名单，简单说就是只允许你指定的域名来访问你的CDN资源，其他域名一律拒绝，是防止盗链和恶意刷流量的第一道防线。
你可能遇到过这种情况：网站图片、视频资源被其他网站直接引用，带宽消耗飙升，加载速度变慢，配置白名单后，只有你信任的域名才能调用这些资源，其他域名直接返回403，流量瞬间干净，这个机制在CDN和源站服务器两端都可以实现，但核心逻辑一致用许可列表替代全局放行。
CDN域名白名单有什么用？核心价值解析
白名单不是锦上添花的功能，而是内容型网站的基础安全配置，从实际效果看,它主要在三个层面起作用。
防盗链，保护带宽资源
盗链是网站带宽的最大隐形杀手，其他网站直接引用你的图片、CSS或视频文件，每次请求都会消耗你的CDN流量，配置白名单后，只要请求来源的域名不在列表内，CDN边缘节点直接拒绝响应，不回源、不消耗流量，对于图片站、视频站或下载站,这个配置能节省相当一部分带宽成本。
提升网站安全性，防止恶意流量
除了盗链，白名单还可以阻止部分恶意爬虫和扫描器，虽然它不能完全替代WAF，但能过滤掉大量来源不明的请求，当你的业务只面向特定用户群体或合作伙伴时，白名单是最直接的控制手段，业内专家指出，白名单配置是CDN安全的基础防线之一，尤其对于付费内容平台,白名单几乎是强制要求。
优化CDN缓存命中率
你可能没想到，白名单还能间接提升缓存效率，通过拒绝非授权域名的请求，CDN节点不需要为这些无效请求回源，缓存资源不会被频繁驱逐，源站压力降低，缓存命中率自然提升，多数情况下，配置白名单后，CDN的有效请求占比会明显提高,加速效果更稳定。
服务器域名白名单设置方法：分平台操作指南
不同平台的白名单配置入口和规则略有差异，但核心思路一致，以下以主流CDN服务和服务器端配置为例,给出具体操作路径。
简米云CDN白名单配置步骤
- 登录简米云CDN控制台，进入域名管理页面。
-
选择目标域名，点击配置。
- 在左侧导航栏找到访问控制，选择Referer防盗链。
- 开启防盗链开关，类型选择白名单。
- 在规则框中输入允许的域名：支持完整域名（如
www.example.com）和通配符（如.example.com），每个域名一行，注意不要带http://或https://前缀。 - 点击确定，等待配置生效（通常1-5分钟），建议同时勾选允许空Referer选项，否则直接浏览器访问资源会被拒绝,视业务需求而定。
酷番云CDN防盗链配置
酷番云CDN的白名单入口在域名管理-访问控制-防盗链配置中,操作步骤：
- 开启防盗链，选择白名单模式。
- 填写允许的域名列表，支持
.example.com格式。 - 注意：酷番云支持正则表达式，如果你需要更复杂的匹配规则，可以勾选“正则模式”输入表达式。
- 保存后,CDN边缘节点会立即校验请求头中的Referer字段。
Cloudflare的Firewall Rules实现白名单
Cloudflare没有直接叫“白名单”的按钮，但通过Firewall Rules可以轻松实现类似效果：
- 进入Security – WAF – Firewall Rules。
- 创建一条规则：
(http.referer neq "https://www.example.com/" and http.referer neq "https://m.example.com/")且not http.referer in {"your-domain.com"}等逻辑。 - 动作为Block,优先级设为高。
- 这样，只有你指定的Referer来源才能访问,其他来源全部拦截。
Nginx服务器端域名白名单配置
如果CDN层面没有配置，或者你需要在源站做二次校验，Nginx可以基于Referer实现白名单,在server块或location块中添加：
if ($http_referer !~ "^(http://|https://).(example.com|cdn.example.net)") {
return 403;
}
注意：这个配置对直接访问URL（空Referer）也会返回403，如果业务需要允许空Referer（比如用户直接打开图片链接）,需要额外判断：
if ($http_referer !~ "^(http://|https://).(example.com|cdn.example.net)" && $http_referer != "") { return 403; }
配置后重载Nginx,立即生效。
CDN域名白名单和黑名单的区别
很多新手会把白名单和黑名单搞混，或者认为它们效果一样,两者在安全理念和应用场景上完全不同。
白名单：默认拒绝，只允许已知来源
白名单是一种“最小权限”策略，只有你明确列出的域名才能访问资源，其他所有来源一律拒绝，安全性更高，但管理成本也高每次新增合法域名都需要手动更新列表，适合付费内容、API接口、内测产品等场景。
黑名单：默认允许，只拒绝已知恶意来源
黑名单恰恰相反，它允许所有请求，只阻挡你列出的恶意域名，配置简单，前期不需要维护列表，但安全性较低，因为恶意来源随时可能切换域名，黑名单很难覆盖所有攻击，适合开放型网站,或者只是临时屏蔽个别盗链者。
行业共识认为，对于绝大多数有原创内容的网站，白名单是更推荐的选择，虽然配置稍麻烦，但长期来看能有效控制流量成本，黑名单只适合作为辅助手段,比如在白名单基础上额外屏蔽某些特定来源。
配置白名单时的常见误区与注意事项
白名单配置看似简单，实际落地时容易踩坑，以下问题在不少网站的配置中出现过,提前规避能省去排查时间。
忽略移动端或HTTPS域名
很多站长只在白名单里写了 www.example.com，却忘了 m.example.com 或 https://example.com，结果移动端访问时，Referer是 https://m.example.com，被CDN直接拒绝，建议把所有可能用到的子域名和协议变体都加进去，或者用通配符 .example.com 覆盖所有子域名。
通配符使用不当
通配符 .example.com 可以匹配 a.example.com、b.example.com，但不会匹配 example.com 本身（不带子域名），如果需要同时匹配根域名，需要额外加一行 example.com，同样，.com 或 .example. 这类通配符太宽泛，不建议使用,否则白名单形同虚设。
忘记添加CDN回源域名
如果你的CDN需要回源到源站，但源站也配置了白名单，那么源站必须允许CDN的节点IP或回源域名，否则回源请求会被源站拒绝，导致CDN无法拉取资源，通常CDN服务商会提供回源域名列表,你可以通过IP段或域名白名单的方式放行。
白名单与CDN缓存策略的配合
白名单本身不缓存，但拒绝的请求不会触发回源，所以不会影响缓存，但要注意：如果白名单配置错误，导致正常请求被拒绝，用户会看到资源加载失败，这时需要检查CDN缓存是否过期，因为CDN边缘节点可能缓存了403响应，清除缓存后重新配置,可以快速恢复。
服务器域名CDN白名单常见问题解答
配置白名单后，为什么我的网站自己的图片都不显示了？
检查你是否添加了本站的完整域名，很多人只写了 www.example.com，但站内图片的URL可能来自 static.example.com 或 cdn.example.com，这些域名也需要加入白名单，确认是否开启了“允许空Referer”选项，如果没有，用户直接访问图片链接（无Referer）也会被拒绝，建议在测试阶段先允许空Referer,线上稳定后根据业务决定是否关闭。
白名单能完全防止CC攻击吗？
不能，白名单主要针对盗链，基于Referer校验，CC攻击者可以伪造Referer，只要他伪造的域名在你的白名单内，请求依然会通过，白名单对CC攻击有一定的过滤作用（比如来源IP不在白名单内时会被拦截），但无法防御所有CC攻击，建议配合WAF、频率限制、IP黑名单等一起使用，白名单是安全基础,但并非万能。
国内CDN白名单配置和国外CDN有什么区别？
国内CDN（如简米云、酷番云、网宿）一般通过访问控制-防盗链功能配置白名单，操作路径类似，但需要域名已备案，国外CDN（如Cloudflare、Akamai）大多通过Firewall Rules或自定义规则实现，更灵活，支持正则和条件组合，两者在功能上差别不大，但国内CDN的实名制和备案要求是硬门槛，国内CDN对空Referer的处理策略更严格，部分平台默认拒绝空Referer,配置时需留意。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/%e6%9c%8d%e5%8a%a1%e5%99%a8%e5%9f%9f%e5%90%8dcdn%e7%99%bd%e5%90%8d%e5%8d%95%e6%80%8e%e4%b9%88%e8%ae%be%e7%bd%ae%ef%bc%8c%e6%9c%89%e5%93%aa%e4%ba%9b%e6%b3%a8%e6%84%8f%e4%ba%8b%e9%a1%b9/
