meta name="referrer" 对敏感数据流转中的 Referer 控制作用非常有限，仅影响 HTML 自动触发请求，对 JS 发起的跳转或资源请求完全无效；真正有效的控制需在具体标签（如 <a> 加 rel="noreferrer" 和 referrerpolicy）或 JS 调用（如 fetch() 显式传 referrerPolicy）中逐点干预。
meta name="referrer" 标签对敏感数据流转中的 Referer 控制作用非常有限——它只影响 HTML 自动触发的请求（如点击链接、<img src>、<form> 提交），对 JS 发起的任何跳转或资源请求（fetch()、window.location.href、动态 <img>）完全无效。
哪些敏感跳转场景 meta name="referrer" 压根不管用
你写了 <meta name="referrer" content="no-referrer">，但以下操作仍会发完整 Referer：
-
window.location.href = "https://pay.example.com/checkout?token=abc123"—— 浏览器按默认策略发，meta不生效 -
fetch("/api/log", { method: "POST" })—— 必须显式传referrerPolicy: "no-referrer"选项 - 用户右键点击链接 → “在新标签页中打开” —— 绕过所有前端声明，走浏览器自身策略
- JS 动态创建并插入的
<img src="https://tracker.com/pixel.gif">——meta对运行时插入的元素无约束力
真正能控制敏感跳转 Referer 的只有两个地方
要切断敏感参数（如 ?uid=123&session=xyz）外泄，必须在发起点明确干预：
- 对外链
<a>标签，同时加rel="noreferrer"和referrerpolicy="no-referrer"：<a href="https://gateway.pay/..." rel="noreferrer" referrerpolicy="no-referrer">去支付</a>
注意：rel="noreferrer"更彻底——它不仅清Referer，还隐式启用noopener，防止新开页通过window.opener反控原页面 - 对 JS 跳转，必须用
location.replace()+rel="noreferrer"配合中间页，或改用表单 POST 提交（再配form referrerpolicy="no-referrer"） - 对
fetch()或XMLHttpRequest，必须在调用时传referrerPolicy选项：fetch(url, { referrerPolicy: "no-referrer" })
strict-origin-when-cross-origin 是最实用的兜底策略
如果你没写任何 referrerpolicy，现代浏览器（Chrome 85+、Firefox 90+、Safari 14+）实际执行的就是 strict-origin-when-cross-origin。它在敏感数据流转中表现最平衡：
- 同源跳转（如
/admin/users?id=789→/admin/logs）：保留完整路径，不影响内部分析归因 - 跨源 HTTPS → HTTPS（如
/checkout?token=abc→https://stripe.com/）：只发https://yoursite.com，不带路径和参数 - HTTPS → HTTP：完全不发
Referer，避免明文泄露
硬设成 no-referrer 看似更“安全”，但会让 GA4、Matomo 等工具把所有外链流量记为“直接访问”，掩盖真实转化路径；而 origin-when-cross-origin 在协议降级时仍可能发 origin，不如 strict- 版本严谨。
容易被忽略的兼容性与覆盖关系
meta name="referrer" 的值必须是严格枚举，拼错（比如 strict-origin-when-crossorigin 少个 -）会被浏览器静默忽略，退回到默认的 no-referrer-when-downgrade。更重要的是：
- 它永远低于元素级
referrerpolicy属性 —— 即使全局设了origin，某个埋点图加了referrerpolicy="no-referrer"，那张图就真不发Referer - 它不覆盖服务端响应头
Referrer-Policy，后者对 JS 请求也生效，且不可被前端 JS 覆盖；但响应头管不到用户点击行为，所以前后端策略必须协同 - Safari 15.4 之前不支持
strict-origin和strict-origin-when-cross-origin，线上若需兼容旧 Safari，应优先测试或降级为origin-when-cross-origin
真正的控制点不在 <head> 里那行 meta，而在每个具体发起请求的标签或 JS 调用处；漏掉任意一个关键出口，敏感参数就可能随 Referer 流出。
