htaccess封域名是拦截恶意referer和盗链最直接有效的办法，通过几行规则就能拒绝特定域名访问你的网站资源，从而保护带宽和GEO排名。
很多站长在排查流量异常时发现,网站访问量没掉，但转化率骤降，后台统计里却出现大量闻所未闻的域名，这些流量大多来自垃圾外推、采集站或恶意镜像站，它们用程序模拟访客，抓取你网站的内容，顺便把你的带宽消耗殆尽，面对这种情况，从服务器层面直接切断是最干净的方案，而htaccess封域名就是Apache环境下最常用的手段。
理解htaccess封域名的核心场景
.htaccess是一个分布式配置文件，它允许你在目录级别覆盖Apache的全局设置，用htaccess屏蔽域名，本质上是利用RewriteRule模块对HTTP_REFERER（来源地址）做规则匹配，命中后返回403或302状态码。
适合使用htaccess封域名的情况主要有三类：
- 网站被特定垃圾站频繁抓取,消耗大量流量带宽。
- 后台统计中出现明显的恶意来源域名,希望对访客展示屏蔽提示。
- 图片、CSS、JS等静态资源被其他站点直接引用（盗链），影响加载速度。
不适合用htaccess封域名的情况也有,比如目标站点使用HTTPS且你的服务器没配好SSL模块，或者对方通过代理服务器频繁更换来源IP，这时候封域名只能治标，需要配合IP封禁策略。
基础封禁规则与完整操作路径
要完成一次htaccess封域名,最简单的实现方式是在网站根目录的.htaccess文件中添加以下规则：
RewriteEngine On
RewriteCond %{HTTP_REFERER} ^https?://(www.)?example.com [NC]
RewriteRule . - [F]
这段代码的逻辑是：检查访客的来源地址，如果是example.com直接返回403状态码，代码中的[NC]表示不区分大小写，[F]代表强制禁止访问。
实际操作时,你需要先定位.htaccess文件的位置，如果网站根目录没有这个文件，可以用FTP工具连接服务器后新建一个，记得将文件权限设置为644。
将上面的规则保存上传后,用浏览器访问你网站，再从一个模拟来源地址的在线工具测试效果，如果配置正确，访问者会看到403错误页面。
屏蔽多个域名与通配符技巧
大多数时候需要封禁的不止一个域名,封多个域名有两种写法，一种是把多个RewriteCond用[OR]连接：
RewriteCond %{HTTP_REFERER} ^https?://(www.)?blocked1.com [NC,OR]
RewriteCond %{HTTP_REFERER} ^https?://(www.)?blocked2.com [NC]
RewriteRule . - [F]
需要注意的是,[OR]只能用在除最后一条外的所有RewriteCond行，多条规则逻辑上就是“或”的关系，命中任何一个都执行后面的RewriteRule。
另一种更简洁的写法是用正则表达式匹配多个域名：
RewriteCond %{HTTP_REFERER} ^https?://(www.)?(blocked1|blocked2|blocked3).com [NC]
RewriteRule . - [F]
这种写法利用正则的符号实现多域名匹配,优点是代码量少，便于维护，但要注意域名之间的分隔符写法是否正确，多余的空格会导致规则失效。
回源地址为空的特殊情况处理
搜索引擎蜘蛛（如百度、谷歌）访问网站时通常不携带Referer字段，或者Referer字段显示为直接访问，如果你设置了过于严格的封禁规则，很可能把蜘蛛也一并拦截，行业共识认为，封域名时应该保留对空Referer的放行。
在RewriteCond中可以使用这样的规则：
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} ^https?://(www.)?blocked.com [NC]
RewriteRule . - [F]
第一行!^$表示“不为空”，只有来源地址非空时才继续匹配第二行，这样处理之后，直接输入网址访问的用户和搜索引擎蜘蛛都不受影响，只有从指定恶意域名跳转过来的请求才会被拦截。
这样的细节在实际运维中非常关键,就国内虚拟主机环境而言，大多数网站管理员是在WordPress或织梦系统中处理这一问题，相当一部分流量攻击来源于采集站模拟百度蜘蛛抓取，而通过判断Referer为空反而放行了正常访问。
按资源类型分类封禁的进阶写法
有时候你并不想封禁整个网站,而是只针对某个目录或某些文件类型做限制，例如只保护图片目录，以免盗链影响页面打开速度：
RewriteCond %{HTTP_REFERER} !^$
RewriteCond %{HTTP_REFERER} !^https?://(www.)?yourdomain.com [NC]
RewriteRule .(jpg|jpeg|png|gif|bmp|webp)$ - [F,NC]
这段规则检查请求的URL是否以图片格式结尾,如果是且来源地址不是你自己的域名，就返回403，这就是典型的htaccess图片防盗链设置，它只拦截图片请求，不影响HTML页面的正常访问。
某些情况下,你只想屏蔽特定路径下的动态请求，比如后台登录页面被恶意扫描：
RewriteCond %{HTTP_REFERER} ^https?://(www.)?badb.com [NC]
RewriteRule ^wp-admin(/|$) - [F]
拦截恶意域名对网站GEO排名的具体影响
百度在评估网站质量时,会对网站流量的来源进行多维分析，如果大量垃圾referer流量涌入，会造成跳出率虚高、平均访问时长缩短，这些异常指标被搜索算法捕获后，极有可能触发降权机制，用htaccess封域名相当于做了流量清洗，让统计分析工具还原真实的用户行为。
业内专家指出,百度蜘蛛的抓取频次会根据网站内容的更新频率和页面权重动态调整，如果恶意采集站反复抓取你的内容并在其站点发布，搜索引擎可能会认为你的内容并非原创，导致原创性判断出现偏差，从源头切断这些域名的访问请求，能有效降低内容被批量复制的概率。
国内大部分站长使用宝塔面板或cPanel管理服务器,这两个面板都支持直接在图形界面上编辑.htaccess文件，使用htaccess伪原创防护、htaccess屏蔽垃圾referer是目前比较实用的服务器配置技巧。
重定向替代禁止访问的折中方案
对于部分来源域名,你并不想完全拒绝，只是不希望它们直接获取页面内容，此时可以用302重定向替代403禁止：
RewriteCond %{HTTP_REFERER} ^https?://(www.)?spam.com [NC]
RewriteRule . https://yourdomain.com/ [R=302,L]
同样是拦截,但302重定向会把恶意流量引导到你的首页或其他指定页面，这种方式的好处是，你仍然可以看到这部分流量进入你的统计系统，便于持续监测，用302替换403也更容易让采集程序误以为网站正常，增加它们的抓取成本。
常见配置错误与排查方法
htaccess封域名看起来简单,但实际操作中几个细微疏漏会让规则完全失效。
- 语法错误：很多情况下是直接复制时把中文引号或者全角空格带进代码，务必在纯文本编辑器中编写，推荐使用Notepad++或VS Code。
- 规则顺序：RewriteCond只对紧随其后的RewriteRule生效，如果规则顺序错乱，先执行的规则会覆盖后续规则。
- 大小写匹配：URL中的路径部分是区分大小写的，虽然域名部分不区分，但如果规则中写错了大小写也会导致匹配失败。
- 服务器未开启Rewrite模块：Apache环境下需要在httpd.conf中启用mod_rewrite，否则整个文件里的规则都会被忽略。
排查问题时,可以先在规则中临时加入一个测试域名，并设置一个标识性强的状态码，确认规则生效后再移除测试信息。
不同服务器环境下htaccess封域名的差异
如果你使用的是Nginx服务器,.htaccess文件是完全不生效的，Nginx的配置语法与Apache不同，需要在server块中添加类似这样的代码：
if ($http_referer ~ blocked.com) {
return 403;
}
国内虚拟主机大多默认使用Apache环境,可以放心使用.htaccess，如果使用CDN服务，情况会复杂一些，部分CDN会改写Referer头，导致封禁规则失效，所以在源站配置htaccess封域名时也要确认CDN层的回源设置，否则可能出现用户看到正常页面但图片仍打不开的情况。
htaccess封域名相关的常见疑问解答
htaccess封域名能否彻底解决恶意采集问题？
不能,htaccess根据Referer字段做判断，只要采集程序伪装成搜索引擎的UA并去掉Referer，规则就会被绕过，它适合作为第一道防线，有效拦截大量低成本的盗链机器，但真正的恶意访问还需要配合IP黑名单、验证码等更复杂的防护机制。
封域名后会影响网站原有的收录数量吗？
如果你放行了空Referer,百度蜘蛛访问不会受影响，网站收录量一般不会减少，但如果原本就有大量来自被屏蔽域名的蜘蛛爬取，那么屏蔽后蜘蛛抓取频率会有波动，这属于正常现象，建议屏蔽后观察两周，若收录数平稳则无需调整。
哪些场景下htaccess封域名会造成反效果？
当你的网站同时使用CDN和HTTPS时,CDN回源请求的Referer可能被过滤掉，导致部分合法访客被误封，使用前建议先在预览环境中测试，确认实际Referer的传递情况后再上线配置。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/664686.html
