HTTP的Referrer和Referrer Policy設定

Referrer

referrer是HTTP請求header的封包頭，用于指明目前流量的來源參考頁面。通過這個資訊，我們可以知道訪客是怎麼來到目前頁面的。這對于Web Analytics非常重要，可以用于分析不同管道流量分布、使用者搜尋的關鍵詞等。

但是，這個字段同時會造成使用者敏感資訊洩漏（如：帶有敏感資訊的重置密碼URL，若被Web Analytics收集，則存在密碼被重置的危險）。

Referrer Policy States

新的Referrer規定了五種政策：

• No Referrer：任何情況下都不發送Referrer資訊
• No Referrer When Downgrade：僅當協定降級（如HTTPS頁面引入HTTP資源）時不發送Referrer資訊。是大部分浏覽器預設政策。
• Origin Only：發送隻包含host部分的referrer.
• Origin When Cross-origin：僅在發生跨域通路時發送隻包含host的Referer，同域下還是完整的。與Origin Only的差別是多判斷了是否Cross-origin。協定、域名和端口都一緻，浏覽器才認為是同域。
• Unsafe URL：全部都發送Referrer資訊。最寬松最不安全的政策。

referrer具體設定

CSP響應頭

CSP（Content Security Policy）

Content-Security-Policy: referrer no-referrer|no-referrer-when-downgrade|origin|origin-when-cross-origin|unsafe-url;
           

指令和指令值之間以空格分割，多個指令之間用英文分号分割。

标簽

html頁面的meta标簽指定。

如果content屬性不是合法的取值，浏覽器會自動選擇no-referer政策。

<meta name="referrer" content="no-referrer|no-referrer-when-downgrade|origin|origin-when-crossorigin|unsafe-url">
           

标簽的referer屬性

• 作用的隻是目前标簽。
• 政策隻有三中：不傳、隻host、都傳（即完整URL）。
• 針對單個連結設定的政策優先級比CSP和要高。

<a href="http://example.com" referrer="no-referrer|origin|unsafe-url">xxx</a>
           

PS：

題外話：樓主之前使用CNZZ進行站長統計，7月份開始，單個頁面的通路統計失效，全部歸入首頁。今天終于明白，應該是部落格園增加了referrer policy導緻。

作者：AmyZYX

出處：http://www.cnblogs.com/amyzhu/

本文版權歸作者和部落格園共有，歡迎轉載，但未經作者同意必須保留此段聲明，且在文章頁面明顯位置給出原文連接配接，否則保留追究法律責任的權利。