跨域请求安全策略：strict-origin-when-cross-origin详解

最新推荐文章于 2025-06-18 00:30:22 发布

原创最新推荐文章于 2025-06-18 00:30:22 发布 · 3.8k 阅读

CC 4.0 BY-SA版权

文章标签：

111 篇文章

订阅专栏

61 篇文章

订阅专栏

10 篇文章

订阅专栏

Referrer-Policy: strict-origin-when-cross-origin 是一种现代浏览器支持的引用来源（Referer）控制策略，用于决定在跨域请求中如何发送 Referer 请求头。
在这里插入图片描述

该策略是 默认行为（在大多数现代浏览器中），其逻辑如下：

请求类型	是否发送 Referer	Referer 内容
同源请求（Same-origin）	✅ 发送	完整 URL（包括路径和查询参数）
跨源请求（Cross-origin）且安全上下文（HTTPS → HTTPS）	✅ 发送	仅发送源地址（Origin：协议 + 域名 + 端口）
跨源请求且从 HTTPS 发起 HTTP 请求（不安全降级）	❌ 不发送	无

场景	请求目标	Referer 值
从 `https://a.com/page1` 跳转到 `https://a.com/page2`	同源	`https://a.com/page1`
从 `https://a.com/page1` 请求 `https://b.com/api`	跨源（HTTPS→HTTPS）	`https://a.com`
从 `https://a.com/page1` 请求 `http://b.com/api`	跨源且降级 HTTP	无 Referer

Referrer Policy	同源行为	跨源（HTTPS→HTTPS）	跨源降级（HTTPS→HTTP）
`no-referrer`	无	无	无
`no-referrer-when-downgrade`	完整 URL	完整 URL	无
`same-origin`	完整 URL	无	无
`origin`	仅源	仅源	仅源
`strict-origin`	仅源	仅源	无
`strict-origin-when-cross-origin`	完整 URL	仅源	无 ✅（最安全）

Referrer-Policy: strict-origin-when-cross-origin

<meta name="referrer" content="strict-origin-when-cross-origin">

strict-origin-when-cross-origin 是一个兼顾安全与功能性的推荐策略：

适用于大多数 Web 应用的安全场景。