referrerpolicy属性对iframe加载行为完全无效，它仅控制iframe内部子资源（如img、script）的referer请求头，不控制父页面加载iframe主文档时发送的referer；后者必须由父页面http响应头referrer-policy统一配置。
referrerpolicy 属性对 iframe 加载行为完全无效
给 <iframe></iframe> 标签加 referrerpolicy，**控制不了父页面加载该 iframe 时发送的 Referer**。它只管 iframe 内部自己发起的请求（比如里面 <img src="https://cdn.com/a.jpg?x-oss-process=image/resize,p_40"> 或 <script src="https://api.com/sdk.js"></script>），不碰 iframe 主文档本身的加载过程。
常见错误现象：在 <iframe src="https://thirdparty.com/widget.html" referrerpolicy="no-referrer"></iframe> 上设了属性，结果第三方 widget 仍能通过 window.parent.location.href 或 document.referrer 拿到完整父页 URL——这不是 Referer 头的问题，是 JS 上下文暴露，referrerpolicy 压根不干预这个。
验证是否生效，必须看 Network 面板里 widget.html 这个主文档请求的 Request Headers，而不是它内部加载的图片或脚本。
真正控制 iframe 加载时 Referer 的唯一方式是服务端响应头
父页面返回 HTML 时，必须由后端设置 Referrer-Policy HTTP 响应头，才能影响浏览器向 <iframe src="..."></iframe> 发起的主文档请求。
-
Referrer-Policy: strict-origin-when-cross-origin：跨域 iframe 加载时只发https://your-site.com，不带路径和 query 参数，最常用且平衡 -
Referrer-Policy: origin：无论同源跨源，都只发源站（协议+域名+端口），更保守 -
Referrer-Policy: no-referrer：所有外发请求都不带 Referer 字段，包括 AJAX 和资源加载，可能影响后端日志或权限校验
注意：<meta name="referrer"> 对 iframe 加载无效；Nginx 示例配置：add_header Referrer-Policy "strict-origin-when-cross-origin";
iframe 内部资源请求才受 referrerpolicy 属性控制
如果嵌入的第三方页面自己加载图片、脚本或 API，而你希望这些请求不泄露来源，才需要在 <iframe></iframe> 标签上设 referrerpolicy。
-
referrerpolicy="no-referrer"：iframe 里所有子资源请求都不带 Referer，适合广告或分析脚本 -
referrerpolicy="origin"：只暴露源站，不泄露路径和 query，比默认更安全 - 属性必须直接写在
<iframe></iframe>标签上，<div referrerpolicy="..."><iframe src="..."></iframe></div>无效 - 旧版 Safari（≤15.4）忽略该属性，需配合服务端 Referer 白名单兜底
第三方 iframe 提供方要求“隐藏来源”时的实际限制
如果第三方明确要求你隐藏父页面 URL，仅靠前端属性做不到。他们看到的 Referer 来自父页面的响应头策略，不是你的 HTML 属性。
更麻烦的是：即使 Referer 被裁剪为 origin，第三方仍可通过 JS 访问 window.parent.location（只要没开 sandbox 或开了 allow-same-origin）——这是同源策略层面的问题，和 Referer 完全无关。
真正可控的边界只有两个：HTTP 请求头里的 Referer 字段（靠服务端头）、iframe 内部子资源的 Referer（靠 referrerpolicy 属性）。其他一切，比如 JS 可见性、DOM 访问、CSP 限制，都得另配。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
