type
status
date
slug
summary
tags
category
icon
password
Referer
Referer请求头包含了当前请求页面的来源页面的地址，即表示当前页面是通过此来源页面里的链接进入的。服务端一般使用Referer（注：正确英语拼写应该是referrer，由于早期HTTP规范的拼写错误，为了保持向后兼容就一直延续下来）请求头识别访问来源，可能会以此统计分析、日志记录以及缓存优化等。
注： Referer请求头可能会暴露用户的浏览历史、涉及到用户的隐私问题。
Referrer-policy
Referrer-policy作用就是为了控制请求头中referer的内容
包含以下值：
- no-referrer : 整个referee首部会被移除，访问来源信息不随着请求一起发送。
- no-referrer-when-downgrade : 在没有指定任何策略的情况下用户代理的默认行为。在同等安全级别的情况下，引用页面的地址会被发送(HTTPS->HTTPS)，但是在降级的情况下不会被发送 (HTTPS->HTTP).
- origin: 在任何情况下，仅发送文件的源作为引用地址。例如 example.com/page.html 会…
- origin-when-cross-origin: 对于同源的请求，会发送完整的URL作为引用地址，但是对于非同源请求仅发送文件的源。
- same-origin: 对于同源的请求会发送引用地址，但是对于非同源请求则不发送引用地址信息。
- strict-origin： 在同等安全级别的情况下，发送文件的源作为引用地址(HTTPS->HTTPS)，但是在降级的情况下不会发送 (HTTPS->HTTP)。
- strict-origin-when-cross-origin： 对于同源的请求，会发送完整的URL作为引用地址；在同等安全级别的情况下，发送文件的源作为引用地址(HTTPS->HTTPS)；在降级的情况下不发送此首部 (HTTPS->HTTP)。
- unsafe-url： 无论是同源请求还是非同源请求，都发送完整的 URL（移除参数信息之后）作为引用地址。（最不安全了）
如何设置referer
- 在HTML里设置meta
如下图：
- 或者：
未加referrerpolicy属性的link元素：
盗链
盗链是指在自己的页面上展示一些并不在自己服务器上的一些内容， 获取别人的资源地址，绕过别人的资源展示页面，直接在自己的页面上向最终用户提供此内容。 一般被盗链的都是图片、 可执行文件、 音视频文件、压缩文件等资源。通过盗链的手段可以减轻自己服务器的负担
比如在自己页面里引入百度贴吧里的一张照片：
但实际上是无法展示的(如下图)，之所以无法展示是因为百度的图片做过防盗链处理
防盗链的工作原理
通过Referer或者签名，网站可以检测目标网页访问的来源网页，如果是资源文件，则可以追踪到显示它的网页地址 一旦检测到来源不是本站，即进行阻止或者返回指定的页面
绕过图片防盗链
那么现在的很多网站是如何利用referer来进行防图片盗链的呢？ 三种情况下允许引用图片：
- 本网站。
- 无referer信息的情况。（服务器认为是从浏览器直接访问的图片URL，所以这种情况下能正常访问）
- 授权的网址。
我们只能从情况2入手，通过设置referer为空进行绕过防盗链。
设置meta
设置Referrer-Policy=“no-referrer”
JS脚本
参考资料
- 作者:lveMonsi
- 链接:https://blog.lvems.top/article/230602
- 声明:本文采用 CC BY-NC-SA 4.0 许可协议，转载请注明出处。