Referrer-Policy的核心作用是限制、缩减或移除Referer请求头信息，防止敏感路径和参数泄露；通过响应头（如strict-origin-when-cross-origin）全局设置最可靠，局部可用referrerpolicy属性精细化控制，禁用unsafe-url。

在 HTML5 中，Referrer-Policy 不是用来“伪造”或“自定义”来源地址的工具，它的核心作用是**限制、缩减或移除 Referer 请求头中携带的信息量**，从而防止敏感路径、查询参数（如 ?token=abc、?user_id=123）被无意泄露给第三方站点。实现精确控制的关键在于：选择合适策略 + 明确作用范围（全局 or 局部）+ 避免配置冲突。

优先使用响应头设置全局策略

最可靠、覆盖最全的方式是在服务器返回的 HTTP 响应头中添加：

• Referrer-Policy: strict-origin-when-cross-origin —— 推荐作为默认策略：同源请求发完整 URL；跨源时只发源（https://a.com），且 HTTPS→HTTP 降级时不发送；兼顾安全与功能。
• Referrer-Policy: no-referrer —— 适用于高度敏感页面（如支付结果页、含会话令牌的跳转页），彻底不发 Referer。
• 避免用 unsafe-url：它强制发送完整 URL（含路径和参数），存在严重隐私风险，不应在生产环境使用。

对特定链接或资源做局部精细化控制

当全局策略不够灵活时，可在单个 HTML 元素上用 referrerpolicy 属性覆盖：

财经HTML高端海报生成

复杂得财经如何变成清晰，适合手机看的海报？如何加上你的IP

下载

• @#@#@#@#@#@#@#@#@#@0 → 跳转时只传 https://your-site.com，不带路径和参数。
• → 防止图片请求暴露当前页面 URL（常用于防盗链或隐私页）。
• → 仅同源嵌入才传 Referer，跨源完全不传。

慎用 meta 标签，注意优先级与局限性

可通过 在 中声明全局策略，但它有明显限制：

• 只影响该 HTML 文档发起的导航请求（如点击链接、表单提交），不影响后续 JS 发起的 fetch 或 XMLHttpRequest。
• 若同时设置了 HTTP 响应头，响应头的值具有更高优先级，meta 会被忽略。
• 不支持所有策略值（例如 strict-origin-when-cross-origin 在部分旧浏览器中可能不被识别）。

验证是否生效的实用方法

别只看代码，务必实测：

• 打开 Chrome DevTools → Network 标签页 → 点击一个外链 → 找到对应请求 → 查看 Request Headers 中的 Referer 字段是否存在、内容是否符合预期。
• 对敏感页面（如 /dashboard?session=xxx），点击外链后检查目标站是否收到完整 URL；若策略正确，应只看到源或为空。
• 注意：rel="noreferrer" 是另一种手段，它等效于 referrerpolicy="no-referrer"，但仅作用于 标签，且会自动启用 noopener（更安全）。

前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！