OPTIONS#Access-Control-Allow-Headers: Range， Origin， Referer ， https://*.sm.cn] User-Agent黑名单干扰 检查config.json中security.user_agent_block是否包含Quark或Smcn正则建议临时清空或添加白名单 HSTS强制HTTPS 若SSL证书域名与夸克请求Origin不匹配如证书为alist.example.com但夸克请求https://alist.internal/HSTS策略将拦截所有子资源， 二、协议层CORS、Referer与HTTP语义冲突解析 夸克Web端基于Chromium内核但启用了更严格的资源加载策略 机制夸克行为AList默认响应冲突结果 CORS预检OPTIONS 对/d/路径发起带Origin: https://quark.sm.cn的预检 v3.30 默认不返回Access-Control-Allow-Origin: * 预检失败 → 浏览器终止后续GET请求 Referer校验 视频直链请求携带Referer: https://quark.sm.cn/ AList若启用proxy.hide_referertrue或反向代理未透传Referer丢失/被篡改 AList中间件拒绝服务如public_path鉴权模块校验失败 三、架构层反向代理链路中的头信息断点 Nginx/Apache作为AList前置网关时常见配置缺失导致关键头丢失 # ❌ 错误示例未透传Origin/Refererlocation / {proxy_pass :5244;proxy_set_header Host $host;}# ✅ 正确示例必须显式透传location / {proxy_pass :5244;proxy_set_header Host $host;proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Forwarded-Proto $scheme;proxy_set_header Origin $http_origin;# ← 关键透传Originproxy_set_header Referer $http_referer; # ← 关键透传Referer}四、配置层AList v3.30 的安全策略演进与适配 /d/ 路径匿名访问关闭 v3.30起默认禁用/d/的public访问需在AList管理后台 → 存储设置 → 编辑存储 → 勾选Public或配置authtrue参数 CORS白名单硬编码 AList配置文件config.json中需显式声明allow_origins: [https://quark.sm.cn，。
五、诊断层标准化排查流程Mermaid流程图 flowchart TDA[复现问题在夸克中点击视频] -- B{浏览器无痕窗口能否直接访问直链}B --|能| C[问题在夸克客户端策略查Referer/CORS]B --|不能| D[问题在AList服务端查日志证书]C -- E[抓包分析Request Headers中的Origin/Referer]D -- F[查看AList日志grep 403\|401 logs/app.log]E -- G[验证Nginx是否透传Origin/Referer]F -- H[检查SSL证书SAN是否覆盖请求域名]G -- I[修正Nginx proxy_set_header]H -- J[重签证书或调整DNS解析] 六、验证层关键测试命令与日志锚点 执行以下命令快速定位瓶颈 # 1. 模拟夸克UAReferer直连AListcurl -I -H Origin: https://quark.sm.cn \-H Referer: https://quark.sm.cn/ \-H User-Agent: Mozilla/5.0 (Linux; Android) Quark/6.7.0 \https://your-alist-domain/d/test.mp4# 2. 检查AList响应头是否含CORS字段# 应返回Access-Control-Allow-Origin: https://quark.sm.cn#Access-Control-Allow-Methods: GET， html一、现象层夸克Web端视频播放失败的典型表现 点击AList挂载的视频文件后夸克界面显示“无法播放”或空白播放器 浏览器开发者工具F12 → Network中可见大量403 Forbidden响应目标URL多为/d/xxx.mp4或/api/public/d/xxx 部分请求返回401 Unauthorized或400 Bad Request伴随CORS policy: No Access-Control-Allow-Origin header控制台报错 同一链接在Chrome无痕窗口可正常播放但在夸克内失效——指向客户端策略差异 旧版夸克v5.x偶现成功新版v6.7几乎全量失败印证其强化了Referer校验与CORS预检。