从一个网页打开另一个页面，浏览器可能在Referer请求头中附带来源信息。哪些部分会被发送，受到来源策略和请求场景影响，不能一概认为只传域名或永远不传。
先区分完整地址与来源
来源origin由协议、主机与端口等组成，不包含路径和查询参数。不同策略决定同源、跨源和降级请求如何处理；no-referrer表示不发送来源头。拼写上策略名称是Referrer-Policy，请求头则保留历史拼法Referer。
策略不能替代敏感数据管理
即使限制来源头，写在URL中的令牌仍可能进入地址栏、历史或服务器日志。本站建议从设计上减少把秘密放进查询参数，不将来源策略当作隐藏所有痕迹的开关，也不要将Referer当作可靠身份凭证。
用虚构查询参数做检查
在自有测试页面使用demo=sample之类的无害参数，分别打开同源和跨源链接，在开发者工具查看实际请求头。记录页面响应策略及链接自身配置，确认观察的是目标请求；本文没有改动本站策略或发送真实秘密。
资料与继续学习
MDN：Referrer-Policy响应头。资料查阅日期：2026年10月4日。步骤与练习由本站整理。
资料查阅与编辑日期：2026年10月4日。作者：玖柒。
© 版权声明
文章版权归作者所有，未经允许请勿转载。
THE END
