Meta 的 referrer 策略

背景及问题

在写项目时，后端请求回来的wiki里面有一部分是来自外网，动态赋给src属性，结果加载不出来，控制台报错403。

名词解释

引用策略：是从一个文档发出请求时，是否在请求头部定义 Referrer 的设置。

HTTP Referer是header的一部分，当浏览器向web服务器发送请求的时候，一般会带上Referer，告诉服务器我是从哪个页面链接过来的，服务器基此可以获得一些信息用于处理。

referrer 的值

• 空字符串

• no-referrer：所有请求不发送 referrer。

• no-referrer-when-downgrade：默认值。当请求安全级别下降时不发送 referrer。目前，只有一种情况会发生安全级别下降，即从 HTTPS 到 HTTP。HTTPS 到 HTTP 的资源引用和链接跳转都不会发送 referrer。

• same-origin：对于同源的链接和引用，会发送referrer，其他的不会。同源的意思是指同一个域名且同一协议。如果设置成 same-origin，那么 aaa.com 引用 bbb.com 的资源，不会发送 referrer。子域名也不是同一个域名，aaa.com 引用 test.aaa.com 的资源，不会发送 referrer。

• origin：会发送 referrer，但只会发送源信息。源信息包括访问协议和域名。

• strict-origin：这个相当于 origin 和 no-referrer-when-downgrade 的 合体。即在安全级别下降时不发送 referrer；安全级别未下降时发送源信息。

• origin-when-cross-origin：这个相当于 origin 和 same-origin 的 或 合体。同源的链接和引用，会发送完全的 referrer 信息；但非同源链接和引用时，只发送源信息。

• strict-origin-when-cross-origin：同源的链接和引用，会发送 referrer。安全级别下降时不发送 referrer。其它情况下发送源信息。

• unsafe-url：无论是否发生协议降级，无论是本站链接还是站外链接，统统都发送 Referrer 信息。最宽松却不安全。

设置方法

• 通过 http 响应头中的 Referrer-Policy 字段

Content-Security-Policy: referrer no-referrer|no-referrer-when-downgrade|origin|origin-when-cross-origin|unsafe-url;

• 通过 meta 标签，name 为 referrer

<meta name="referrer" content="no-referrer|no-referrer-when-downgrade|origin|origin-when-crossorigin|unsafe-url">

• 通过、、、、元素的 referrerpolicy 属性。

解决开头引出的问题

<meta name="referrer" content="same-origin" />

这样在引用别人图片时，不发送referrer，不告诉他我是从哪来的，即可正常显示。