<meta name="referrer">无法实现全局Referer控制，仅对HTML解析完成后由原生标签触发的导航请求生效；对JS请求、资源加载、右键跳转、首次访问等完全无效，且优先级最低，仅作兜底补位。
只在 <meta name="referrer"> 里设策略，无法实现全局 Referer 控制——它既不生效于 JS 请求、资源加载，也不影响右键跳转或首次访问，纯属兜底补位。
为什么 <meta name="referrer"> 不是全局配置
这个标签只在 HTML 解析完成后、由原生标签自动触发的导航类请求中起作用，比如用户点击未设 referrerpolicy 的 <a>、提交没显式声明策略的 <form>、或加载 <img src>。但它对以下场景完全无效：
-
fetch()、XMLHttpRequest、动态插入的<script>或<img>—— 必须靠调用时传referrerPolicy选项 - 页面初始加载时同步拉取的 CSS/JS/字体/
<link rel="preload">—— 此时<meta>尚未解析 - 用户右键“在新标签页中打开链接” —— 浏览器直接忽略该 meta，走自身默认策略
- 从搜索引擎点击进来的首次访问 —— 服务端响应头已发完，
<meta>根本没机会执行 -
window.location.href = "https://..."或location.replace()—— 完全不读这个标签
<meta name="referrer"> 的 content 值必须严格匹配枚举
拼写错误（如 origin-when-crossorigin 少个 -）、大小写错误（如 No-Referrer）或使用非标准值（如 same-origin），都会被浏览器静默忽略，退回到默认的 no-referrer-when-downgrade。可用值仅限：
-
no-referrer：所有请求都不带 Referer —— 适合支付结果页、含临时令牌的跳转出口 -
origin-when-cross-origin：同源发完整 URL，跨源只发https://a.com—— 推荐多数页面默认值 -
strict-origin-when-cross-origin：同源发完整 URL，跨源发 origin，且 HTTPS → HTTP 时不发 —— 更安全，但 Safari 15.4 之前兼容性差 -
origin：一律只发源 —— 简单粗暴，适合静态站点 -
unsafe-url：始终发完整 URL —— 有严重隐私风险，生产环境应避免
注意：<meta> 不支持 same-origin、strict-origin 等部分策略值，这些只在 HTTP 响应头或元素级 referrerpolicy 中有效。
立即学习“前端免费学习笔记（深入）”；
与 referrerpolicy 属性和响应头的优先级关系
三者优先级从高到低为：HTTP 响应头 > 元素级 <code>referrerpolicy 属性 > <meta name="referrer">
- 如果后端已返回
Referrer-Policy: strict-origin-when-cross-origin，那么<meta>会被直接忽略 - 某个
<img src="log.gif" referrerpolicy="no-referrer">会 override 全局<meta>，这张图确实不发 Referer - 但反过来，只靠
<meta>控制，却给外链加了rel="noreferrer"—— 点击时不仅清 Referer，还会隐式启用noopener，防止 window.opener 反向劫持
真正起效的 Referer 控制必须靠后端响应头
前端所有 HTML 级控制都是边缘补充；真正覆盖所有请求类型（包括 JS 的 fetch()、<script src>、<link rel="stylesheet">、甚至 <video> 加载）的，只有后端配置的 Referrer-Policy 响应头。
- Nginx 示例：
add_header Referrer-Policy "strict-origin-when-cross-origin" always;（always确保 4xx/5xx 错误页也生效） - CDN/WAF 中间层可能覆盖该头，需确认最终响应是否包含且未被篡改
- 关键外链（如支付跳转、SSO 登录、推广分发）应优先用
rel="noreferrer"，它不只是清 Referer，还隐式启用noopener，静态、可靠、无 JS 依赖
最容易被忽略的是：资源加载发生在 DOM 构建早期，而 <meta name="referrer"> 的作用域和时机都错位了——它不是“全局配置”，只是个延迟生效的、窄范围的兜底开关。
