无效，因该值不被 meta 标签支持，浏览器会静默降级为默认策略 no-referrer-when-downgrade，导致跨域仍发完整 referer，造成隐私泄露；same-origin 仅适用于 http 响应头或元素级 referrerpolicy 属性。
meta name="referrer" 设置 content="same-origin" 在绝大多数实际场景中不仅无效，还会制造隐蔽的隐私泄露风险——它既不能阻止跨域资源请求发 Referer，也无法真正限制同源请求的路径暴露。
为什么same-origin在meta标签里根本不起作用
meta name="referrer" 不支持 same-origin 这个值。浏览器遇到非法枚举值会静默退回到默认策略 no-referrer-when-downgrade，而不会报错或提示。这意味着你写了 <meta name="referrer" content="same-origin">，实际生效的却是 HTTPS → HTTPS 跨域时仍发完整 URL（含 ?token=xxx 或 /admin/123）。
更关键的是：same-origin 仅存在于 HTTP 响应头和元素级 referrerpolicy 属性中，meta 标签的合法值列表里压根没有它。
no-referrer-
no-referrer-when-downgrade（默认） originorigin-when-cross-originstrict-origin-when-cross-originunsafe-url
same-origin策略的真实适用场景和替代方案
如果你真需要“只对同源请求发 Referer，跨域一律不发”，那必须放弃 meta，改用以下任一方式：
如果你了解HTML，CSS和JavaScript，您已经拥有所需的工具开发Android应用程序。本动手本书展示了如何使用这些开源web标准设计和建造，可适应任何Android设备的应用程序 - 无需使用Java。您将学习如何创建一个在您选择的平台的Android友好的网络应用程序，然后转换与自由PhoneGap框架到一个原生的Android应用程序。了解为什么设备无关的移动应用是未来的潮流，并开始构建应用程序，提供更
- HTTP 响应头设置：
Referrer-Policy: same-origin（服务端配置，全局生效） - 单个资源标签显式声明：
<img src="https://cdn.com/logo.png?x-oss-process=image/resize,p_40" referrerpolicy="same-origin"> - JS 请求中指定：
fetch(url, { referrerPolicy: 'same-origin' })
注意：same-origin 对 <iframe></iframe> 的影响是：父页向子帧发起的导航类请求（如点击 iframe 内链接）会带 Referer，但子帧内 JS 发起的 fetch 不受此控制——它取决于子帧自身的策略。
常见误配导致的 403 和埋点失效问题
写错 meta 值后，最典型的连锁反应是：
- CDN 图片返回
403 Forbidden：因为服务器校验 Referer 时收到完整 URL，但策略本意是想清空它 - 第三方统计脚本漏埋点：比如
<script src="https://stat.example.com/tracker.js"></script>加载时仍带敏感路径，被对方拒绝 - 用户点击跳转正常，但页面一打开就失败的
<link rel="stylesheet">请求持续报错——这说明你依赖meta控制资源加载，而它根本不管用
所有这些现象，根源都是把 meta 当成了“全局开关”，却忽略了它的作用域窄、取值受限、且时机滞后于资源请求这一事实。
真正要收敛 Referer，得一层层确认：响应头有没有设？外链资源标签有没有加 referrerpolicy？JS 请求有没有传 referrerPolicy 选项？meta 只负责兜底那部分极小的、HTML 自动触发的导航行为，别让它背锅。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
