referrerpolicy属性在标签上只对点击跳转生效，右键“在新标签页中打开”会完全忽略；它不是rel="noreferrer"的替代品，也不能防止js跳转或表单提交时发送referer。
referrerpolicy 在 标签上不生效？先确认是否真需要它
直接说结论：referrerpolicy 属性在 标签上**只对点击跳转生效，且右键“在新标签页中打开”会完全忽略它**。它不是 rel="noreferrer" 的替代品，也不能防止 JS 跳转（window.location、location.href）或表单提交时的 Referer 发送。如果你的目标是彻底清 Referer，应该优先用 rel="noreferrer"；如果只是想裁剪（比如只发 origin），再考虑 referrerpolicy。
哪些值能在 上稳定工作，哪些会失效
浏览器只认标准字符串，大小写敏感，拼错即退化为默认策略 no-referrer-when-downgrade：
-
no-referrer：真正不发 Referer 请求头（注意：不是空值，是字段缺失），现代浏览器（Chrome 53+、Firefox 50+、Safari 11.1+、Edge 79+）均支持 -
origin：只发https://example.com，不带路径和 query，兼容性好，旧版 Safari（≤15.4）也支持 -
strict-origin-when-cross-origin：最细粒度控制，但 IE 完全不支持，Safari ≤15.4 会静默降级 -
same-origin和strict-origin：在 上行为不可靠，部分浏览器忽略或降级，别用 -
No-Referrer、no_referrer、no-referrer（尾部空格）：全部无效，浏览器当没写
为什么加了 referrerpolicy 还看到完整 Referer？常见干扰项
这不是属性写错了，而是被更高优先级策略覆盖了：
- 后端设置了
Referrer-PolicyHTTP 响应头：它全局生效，覆盖所有 HTML 属性（除非你设的是no-referrer，它是唯一能反向覆盖响应头的例外） - 页面里写了
<meta name="referrer" content="unsafe-url">：虽然已废弃，但在部分旧 Chrome 中仍可能干扰，尤其当referrerpolicy值不合法时 - 用户右键“在新标签页中打开”：该行为绕过所有 HTML 属性，走浏览器默认策略，此时只有
rel="noreferrer"也无效——必须靠响应头兜底 -
<a href="https://www.php.cn/link/263b1243ca2dbeb358777ceabc4a2e4c" referrerpolicy="origin"></a>但目标是同源地址：该属性在同源跳转时不生效，浏览器无视它，仍发完整 URL
真实项目中怎么配才少踩坑
别只靠前端属性赌兼容性，得组合使用：
- 对外链跳转，统一用
<a href="https://thirdparty.com" rel="noreferrer"></a>：它不依赖值合法性，自动启用noopener，且所有现代浏览器 100% 支持 - 对必须保留来源识别的跨域跳转（如 SaaS 登录页），用
referrerpolicy="origin"+ 后端响应头Referrer-Policy: origin-when-cross-origin双保险 - 避免在 上用
unsafe-url：它会让?token=xxx或/admin/user/123直接暴露给第三方，生产环境禁用 - 调试时别只看页面跳转结果，要开 DevTools → Network → 找到跳转后的主文档请求 → Headers → 检查 Request Headers 里的
Referer字段是否存在、值是否符合预期
最麻烦的其实是混合场景：CDN 缓存了旧响应头、构建工具注入了冲突的 <meta>、第三方 SDK 动态插入了未设策略的 标签。这时候光改一个属性没用，得一层层查 Network 面板里的实际请求头，而不是猜哪个配置“应该生效”。
前端入门到VUE实战笔记：立即使用
在学习笔记中，你将探索 前端 的入门与实战技巧！
