HTML中meta标签在控制网页防盗链时的安全设置-html教程-PHP中文网

不能防别人盗用资源，仅控制本页发出的子资源请求（如、）不带referer，对他人嵌入你的资源无效，防盗链必须由服务端校验referer或origin头实现。

html中meta标签在控制网页防盗链时的安全设置

不能。加 <meta name="referrer" content="no-referrer"> 只影响你页面发出的请求，不阻止别人把你的图片、JS 拿去用。防盗链真正的控制点在服务端——别人请求你的资源时，你校验它的 Referer 或 Origin 头，不合法就返回 403。

常见误解是：「我加了 meta，别人就扒不了我的图」。实际效果只是让自己的页面请求第三方资源时不带 Referer，对别人嵌入你的资源毫无约束力。

必须写在具体资源标签上，而不是 <meta> 里。浏览器根本不认 <meta name="referrer"> 的现代写法，但支持每个资源标签自带的 referrerpolicy 属性。

正确写法示例：

html-deploy

使用 htmlcode.fun 将 HTML 内容或文件部署到网页，适用于用户要求“部署到网页”“托管此 HTML”“生成此前端...的实时链接”等场景。

下载

@@##@@
<script src="https://cdn.example.com/lib.js" referrerpolicy="strict-origin-when-cross-origin"></script>

referrerpolicy 值区分大小写，常用值有：no-referrer、origin、strict-origin-when-cross-origin
写在里的 <link rel="stylesheet"> 也支持该属性，但部分老浏览器对 <link> 的支持弱于 <img src="https://cdn.example.com/photo.jpg?x-oss-process=image/resize,p_40" referrerpolicy="no-referrer"> 和 <script></script>
如果同时设置了 HTTP 响应头 Referrer-Policy，它会覆盖所有 HTML 中的 referrerpolicy 属性

不是代码写错，而是优先级和时机问题。最常踩的坑是：

<meta name="referrer"> 必须放在最前面，否则它之前已发出的资源请求（比如 favicon、preload 的脚本）按默认策略发出去了
服务端返回了 Referrer-Policy 响应头（如 strict-origin），浏览器直接无视 <meta> 标签
你在调试时看的是图片请求的响应状态，但没检查 Network 面板里该请求的 Request Headers —— 如果能看到 Referer 字段，说明 meta 没生效；如果字段为空，才说明起效了
目标服务器配置了「拒绝空 Referer」，那 no-referrer 反而触发 403，这时候得联系对方白名单或换资源源站

不能。浏览器明确忽略 <meta http-equiv="Content-Security-Policy" content="script-src 'self'"> 中的 script-src 指令。这是规范限制，不是兼容性问题。

只有 HTTP 响应头里的 Content-Security-Policy 才真正生效，且必须由服务端注入：

Content-Security-Policy: script-src 'self' https://trusted-cdn.com; object-src 'none'

<meta> 仅支持极少数 CSP 指令，如 base-uri、img-src（部分浏览器）、default-src（效果受限）
script-src、connect-src、frame-src 等涉及执行或跨域加载的指令，在 <meta> 中被静默丢弃，DevTools 不报错也不提示
验证是否生效：打开 DevTools → Security 标签页，或 Network → 查看 HTML 响应头是否存在 Content-Security-Policy 字段