记录一次strict-origin-when-cross-origin的错误

### strict-origin-when-cross-origin 的定义与用法 `strict-origin-when-cross-origin` 是一种 Referrer Policy，用于控制浏览器在发起请求时如何设置 `Referer` 头部。它的主要目的是在保护用户隐私的同时，确保跨域请求的安全性[^4]。 #### 定义 当 `strict-origin-when-cross-origin` 被设置时，浏览器的行为如下： - 对于同源请求（same-origin），完整的 URL（包括路径和查询参数）会被发送作为 `Referer`。 - 对于跨域请求（cross-origin），仅发送源信息（origin），即协议、主机名和端口号，而不包含路径和查询参数。 - 如果请求是通过不安全的连接（如 HTTP）发起到安全的连接（如 HTTPS），则不会发送 `Referer`。 这种策略旨在平衡隐私保护和功能需求，在减少敏感信息泄露的同时，允许服务器获取足够的上下文来处理请求。 #### 用法 在 HTML 中，可以通过 `<meta>` 标签或 HTTP 响应头来设置 Referrer Policy。 1. **使用 `<meta>` 标签** 在 HTML 文件中添加以下代码： ```html <meta name="referrer" content="strict-origin-when-cross-origin"> ``` 2. **使用 HTTP 响应头** 在服务器配置中添加以下响应头： ``` Referrer-Policy: strict-origin-when-cross-origin ``` #### 示例 假设有一个页面位于 `https://example.com/page`，它发起以下请求： | 请求类型 | 目标地址 | 发送的 Referer | |------------------|--------------------------|------------------------------------| | 同源 GET 请求 | `https://example.com/api` | `https://example.com/page?query=1` | | 跨域 GET 请求 | `https://thirdparty.com` | `https://example.com` | | 不安全的跨域请求 | `http://insecure.com` | （无） | #### 注意事项 - 此策略适用于所有类型的资源请求，包括图片、脚本、样式表等。 - 开发者需要根据实际需求选择合适的 Referrer Policy，以在用户体验和隐私保护之间找到平衡。 ```python # 示例：检查 Referrer Policy 的设置 import requests url = "https://example.com" headers = {"Referrer-Policy": "strict-origin-when-cross-origin"} response = requests.get(url, headers=headers) print(response.headers.get("Referer")) ```