必须用http响应头referrer-policy全局兜底，referrerpolicy属性仅对、、等主动请求标签的单次请求生效，二者不可替代：响应头覆盖fetch()/xmlhttprequest/资源加载等html属性无法控制的场景，局部属性优先级高但范围有限。
直接结论：必须用 HTTP 响应头 Referrer-Policy 全局兜底，referrerpolicy 属性只对特定标签的单次请求有效，二者不能互相替代，混用时局部优先但覆盖范围有限。
为什么响应头 Referrer-Policy 是必选项
它控制所有本域发起的请求，包括 JS 的 fetch()、XMLHttpRequest、CSS/JS/字体加载、甚至 Service Worker 请求——这些是 HTML 属性完全管不到的。比如埋点 SDK 自动上报、图片懒加载触发的 new Image().src = ...，都只认响应头。
常见错误现象：referrerpolicy="no-referrer" 加在 @#@#@#@#@#@#@#@#@#@0：控制点击跳转时的 Referer
<img>：防止图床因 Referer 校验返回 403<form action="/api/submit" referrerpolicy="origin"></form>：避免提交时泄露当前页面完整路径<div referrerpolicy="no-referrer"></div> —— 浏览器直接忽略选值不当会导致图片不显示或隐私泄露
unsafe-url 是唯一明确禁止的值：它强制发送完整 URL（含 ?token=xxx、?user_id=123），生产环境禁用。而 same-origin 和 strict-origin 在 <img src="https://cdn.example.com/photo.jpg?x-oss-process=image/resize,p_40" referrerpolicy="no-referrer"> 上实际无效，旧版 Safari 会降级处理，别用。
使用 Puppeteer + Chrome 将 HTML 渲染为中文 PDF，自动处理图表等待、Tab 展开、动画、测高、白边消除、防分页，适用于看板、报表、网页和交互图表转 PDF。
- 对外链跳转，优先用
rel="noreferrer"而非referrerpolicy="no-referrer"：前者彻底移除 Referer 头，还隐式启用noopener防 window.opener 劫持 - CDN 图片加载失败（403）时，先查服务端是否校验 Referer，再试
referrerpolicy="origin"或"no-referrer" - 设了
referrerpolicy="origin"却看到完整 URL？可能是浏览器太老（Safari ≤15.4 不支持），或被响应头覆盖
验证是否真生效，别只信 DevTools Network 面板
Network 面板里看到的 Referer 可能被缓存、重定向或浏览器预加载干扰，最可靠方式是让目标服务端打印原始请求头。
- 本地快速验证：
python3 -m http.server 8000启服务，把链接指向它，看终端输出是否有Referer:行及内容 - 对敏感页（如
/dashboard?session=abc123）点击外链，检查目标站收到的是https://yoursite.com还是完整 URL - 注意右键“在新标签页打开”行为：
referrerpolicy对它无效，必须配rel="noreferrer"才能覆盖
真正麻烦的不是写错一个属性，而是 CDN、图床、前端构建工具、代理层各自有 Referer 策略，得一层层查响应头和日志，而不是只改 HTML 标签。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
