HTTP Referer

By | 2019年11月18日

什么是Referer?

Referer是HTTP请求头信息里面的一个常见字段,它提供了访问来源的信息。比如说,在某网站上看到一个广告并点了进去,那么我就可能会在HTTP 协议在请求(request)的头信息里面看到Referer这一字段给出“引荐网页”的URL,让人知道我们是通过“某网站”进入的这个广告页。

Referer存在的条件

在浏览器向服务器请求资源的时候,Referer字段并不是总是存在的,其中在以下几种情况中会发送Referer字段

1.点击网页上的连接

2.提交表单(post或get)

3.网页加载静态资源,比如加载图片、脚本、样式(js的script标签及html中img标签的src属性)。

以下是几种获取不到Referer的几种情况

1.直接在浏览器内输入URL

2.通过浏览器内的书签或收藏

3.第三方软件内容中的连接(如Word,Excel等)

4.从HTTPS的网站跳转到HTTP的网站或SSL认证网站跳入

那么Referer有什么作用呢?

1.通过Referer我们可以知道访问来源的信息,所以可以用来做一些网站流量的来路统计

2.防止图片盗链,当我们不希望自家网站图片外链被其他网站加载时,就可以基于Referer字段来实现,可以通过判断该字段是否是自家URL或者是属于白名单里的URL如果是则放行允许加载。

3.在某些情境下我们不希望暴露当前的原始网址,比如一个社交网站会有每个用户的简介页面,用户会在他们的个人主页中添加一些链接。社交网站可能不希望泄露用户的个人主页URL给被链接的网站(因为个人主页URL可能会泄露其主人的身份信息)。
一些社交网站可能想通知其他网站该链接是从社交网站发起的,但不想泄露包含用户信息的链接(例如,微博中的链接希望告诉对方该链接是在微博中连接过来的,但不希望告诉对方从谁的微博连接过来)。

referrer策略

Referrer策略包含以下值:

  1. 空字符串:空字符串表示没有referrer策略,默认为no-referrer-when-downgrade。
  2. no-referrer:最简单的策略是“no-referrer”,表示所有的请求都不带referrer。
  3. no-referrer-when-downgrade:主要针对于受TLS保护的URL(如https),简单的说就是https的页面中,当连接的资源也是https的,则发送完整的referrer,如果连接的资源是http的,就不发送referrer
  4. same-origin:对于同源的链接,会发送referrer,其他的不会。
  5. origin:这个策略对于任何资源来说只发送源的信息,不发送完整的url。
  6. strict-origin:这个策略类似于origin和no-referrer-when-downgrade的合体,如果一个https页面中链接到http的页面或资源,则不会发送referrer。http页面链接以及https链接到https都只发送来源页面的源信息。
  7. origin-when-cross-origin:该策略在同源的链接中发送完整的URL,其他情况仅发送源信息。相同的域名,http和https协议被认为是非同源的。
  8. strict-origin-when-cross-origin:对于同源请求,发送完整的URL;对于同为https的,只发送源信息;对于http页面只发送源信息;https页面中的http请求不发送referrer。
  9. unsafe-url:这个主要是解决https页面中的http资源不发referrer的问题,它会使在https页面中http资源发送完整的referrer。

Referrer策略可以通过以下方法声明:
1.通过http请求头中的Referrer-Policy字段,例:Referrer-Policy: no-referrer
2.通过meta标签,name为referrer,例:<meta name=”referrer” content=”no-referrer” />
3.通过<a>、<area>、<img>、<iframe>、<link>元素的referrerpolicy属性。例:<a href=“http://example.com” referrerpolicy=“origin”>
4.通过<a>、<area><link>元素的rel=noreferrer属性,例:<a href=’http://example.com’ rel="noreferrer" target="_blank">test</a>
5.通过隐式继承

注意事项
Referrer策略还有其他历史遗留的值:
1.never等价于no-referrer
2.default等价于no-referrer-when-downgrade
3.always等价于unsafe-url
4.不建议使用上面三个值,建议使用后面的新值

兼容性
IE:不支持(IE高版本中隐式支持default,https页面拉取的http资源不会加referrer)
Edge:仅支持较早版本的值(never、always、origin、default)
Firefox:36+
Chrome:21+
Safari:7.1+(仅支持较早版本的4个值)
Opera:15+
iOS Safari:8+(仅支持较早版本的4个值)

参考:

http://www.ruanyifeng.com/blog/2019/06/http-referer.html

https://blog.lyz810.com/article/2016/08/referrer-policy-and-anti-leech/

https://blog.csdn.net/fjb2080/article/details/80975115

发表评论