什么是HTTP Referer?

萌码编程
11-08 18:02

什么是Referer?

RefererHTTP请求头信息里面的一个常见字段,它提供了访问来源的信息。比如说,在某网站上看到一个广告并点了进去,那么我就可能会在HTTP 协议在请求(request)的头信息里面看到Referer这一字段给出“引荐网页”的URL,让人知道我们是通过“某网站”进入的这个广告页。

Referer存在的条件

在浏览器向服务器请求资源的时候,Referer字段并不是总是存在的,其中在以下几种情况中会发送Referer字段。

1.点击网页上的连接

2.提交表单(postget

3.网页加载静态资源,比如加载图片、脚本、样式(jsscript标签及htmlimg标签的src属性)。

以下是几种获取不到Referer的几种情况

1.直接在浏览器内输入URL

2.通过浏览器内的书签或收藏

3.第三方软件内容中的连接(如Word,Excel等)

4.HTTPS的网站跳转到HTTP的网站或SSL认证网站跳入

那么Referer有什么作用呢?

1.通过Referer我们可以知道访问来源的信息,所以可以用来做一些网站流量的来路统计

2.防止图片盗链,当我们不希望自家网站图片外链被其他网站加载时,就可以基于Referer字段来实现,可以通过判断该字段是否是自家URL或者是属于白名单里的URL如果是则放行允许加载。

3.在某些情境下我们不希望暴露当前的原始网址,比如一个社交网站会有每个用户的简介页面,用户会在他们的个人主页中添加一些链接。社交网站可能不希望泄露用户的个人主页URL给被链接的网站(因为个人主页URL可能会泄露其主人的身份信息)。

一些社交网站可能想通知其他网站该链接是从社交网站发起的,但不想泄露包含用户信息的链接(例如,微博中的链接希望告诉对方该链接是在微博中连接过来的,但不希望告诉对方从谁的微博连接过来)。

referrer策略

Referrer策略包含以下值:

空字符串:空字符串表示没有referrer策略,默认为no-referrer-when-downgrade

no-referrer:最简单的策略是“no-referrer”,表示所有的请求都不带referrer

no-referrer-when-downgrade:主要针对于受TLS保护的URL(如https),简单的说就是https的页面中,当连接的资源也是https的,则发送完整的referrer,如果连接的资源是http的,就不发送referrer

same-origin:对于同源的链接,会发送referrer,其他的不会。

origin:这个策略对于任何资源来说只发送源的信息,不发送完整的url

strict-origin:这个策略类似于originno-referrer-when-downgrade的合体,如果一个https页面中链接到http的页面或资源,则不会发送referrerhttp页面链接以及https链接到https都只发送来源页面的源信息。

origin-when-cross-origin:该策略在同源的链接中发送完整的URL,其他情况仅发送源信息。相同的域名,httphttps协议被认为是非同源的。

strict-origin-when-cross-origin:对于同源请求,发送完整的URL;对于同为https的,只发送源信息;对于http页面只发送源信息;https页面中的http请求不发送referrer

unsafe-url:这个主要是解决https页面中的http资源不发referrer的问题,它会使在https页面中http资源发送完整的referrer

Referrer策略可以通过以下方法声明

1.通过http请求头中的Referrer-Policy字段,例:Referrer-Policy: no-referrer

2.通过meta标签,namereferrer,例:<meta name=referrercontent=no-referrer/>

3.通过<a><area><img><iframe><link>元素的referrerpolicy属性。例:<a href=http://example.comreferrerpolicy=origin>

4.通过<a><area><link>元素的rel=noreferrer属性,例:<a href='http://example.com' rel="noreferrer" target="_blank">test</a>

5.通过隐式继承

注意事项

Referrer策略还有其他历史遗留的值:

1.never等价于no-referrer

2.default等价于no-referrer-when-downgrade

3.always等价于unsafe-url

4.不建议使用上面三个值,建议使用后面的新值

兼容性

IE:不支持(IE高版本中隐式支持defaulthttps页面拉取的http资源不会加referrer

Edge:仅支持较早版本的值(neveralwaysorigindefault

Firefox36+

Chrome21+

Safari7.1+(仅支持较早版本的4个值)

Opera15+

iOS Safari8+(仅支持较早版本的4个值)