欢迎您访问程序员文章站本站旨在为大家提供分享程序员计算机编程知识!
您现在的位置是: 首页  >  IT编程

HTTP Referer

程序员文章站 2022-04-12 09:16:31
什么是Referer? Referer是HTTP请求头信息里面的一个常见字段,它提供了访问来源的信息。比如说,在某网站上看到一个广告并点了进去,那么我就可能会在HTTP 协议在请求(request)的头信息里面看到Referer这一字段给出“引荐网页”的URL,让人知道我们是通过“某网站”进入的这个 ......

什么是referer?

referer是http请求头信息里面的一个常见字段,它提供了访问来源的信息。比如说,在某网站上看到一个广告并点了进去,那么我就可能会在http 协议在请求(request)的头信息里面看到referer这一字段给出“引荐网页”的url,让人知道我们是通过“某网站”进入的这个广告页。

referer存在的条件

在浏览器向服务器请求资源的时候,referer字段并不是总是存在的,其中在以下几种情况中会发送referer字段

1.点击网页上的连接

2.提交表单(post或get)

3.网页加载静态资源,比如加载图片、脚本、样式(js的script标签及html中img标签的src属性)。

以下是几种获取不到referer的几种情况

1.直接在浏览器内输入url

2.通过浏览器内的书签或收藏

3.第三方软件内容中的连接(如word,excel等)

4.从https的网站跳转到http的网站或ssl认证网站跳入

那么referer有什么作用呢?

1.通过referer我们可以知道访问来源的信息,所以可以用来做一些网站流量的来路统计

2.防止图片盗链,当我们不希望自家网站图片外链被其他网站加载时,就可以基于referer字段来实现,可以通过判断该字段是否是自家url或者是属于白名单里的url如果是则放行允许加载。

3.在某些情境下我们不希望暴露当前的原始网址,比如一个社交网站会有每个用户的简介页面,用户会在他们的个人主页中添加一些链接。社交网站可能不希望泄露用户的个人主页url给被链接的网站(因为个人主页url可能会泄露其主人的身份信息)。
一些社交网站可能想通知其他网站该链接是从社交网站发起的,但不想泄露包含用户信息的链接(例如,微博中的链接希望告诉对方该链接是在微博中连接过来的,但不希望告诉对方从谁的微博连接过来)。

referrer策略

referrer策略包含以下值:

  1. 空字符串:空字符串表示没有referrer策略,默认为no-referrer-when-downgrade。
  2. no-referrer:最简单的策略是“no-referrer”,表示所有的请求都不带referrer。
  3. no-referrer-when-downgrade:主要针对于受tls保护的url(如https),简单的说就是https的页面中,当连接的资源也是https的,则发送完整的referrer,如果连接的资源是http的,就不发送referrer
  4. same-origin:对于同源的链接,会发送referrer,其他的不会。
  5. origin:这个策略对于任何资源来说只发送源的信息,不发送完整的url。
  6. strict-origin:这个策略类似于origin和no-referrer-when-downgrade的合体,如果一个https页面中链接到http的页面或资源,则不会发送referrer。http页面链接以及https链接到https都只发送来源页面的源信息。
  7. origin-when-cross-origin:该策略在同源的链接中发送完整的url,其他情况仅发送源信息。相同的域名,http和https协议被认为是非同源的。
  8. strict-origin-when-cross-origin:对于同源请求,发送完整的url;对于同为https的,只发送源信息;对于http页面只发送源信息;https页面中的http请求不发送referrer。
  9. unsafe-url:这个主要是解决https页面中的http资源不发referrer的问题,它会使在https页面中http资源发送完整的referrer。

referrer策略可以通过以下方法声明:
1.通过http请求头中的referrer-policy字段,例:referrer-policy: no-referrer
2.通过meta标签,name为referrer,例:<meta name=”referrer” content=”no-referrer” />
3.通过<a>、<area>、<img>、<iframe>、<link>元素的referrerpolicy属性。例:<a href=“http://example.com” referrerpolicy=“origin”>
4.通过<a>、<area><link>元素的rel=noreferrer属性,例:<a href='http://example.com' rel="noreferrer" target="_blank">test</a>
5.通过隐式继承

注意事项
referrer策略还有其他历史遗留的值:
1.never等价于no-referrer
2.default等价于no-referrer-when-downgrade
3.always等价于unsafe-url
4.不建议使用上面三个值,建议使用后面的新值

兼容性
ie:不支持(ie高版本中隐式支持default,https页面拉取的http资源不会加referrer)
edge:仅支持较早版本的值(never、always、origin、default)
firefox:36+
chrome:21+
safari:7.1+(仅支持较早版本的4个值)
opera:15+
ios safari:8+(仅支持较早版本的4个值)

参考: