Fetch 的 referrerPolicy 选项仅控制浏览器自动填充 Referer 头的规则，不能手动设置或伪造值；它只对当前 fetch 请求生效，不覆盖后端响应头，也不影响 headers 中显式设置的 Referer，合法取值有限且需结合策略、上下文与后端配合实现隐私保护。

Fetch 的 referrerPolicy 选项是控制 Referer 头行为的直接方式，但它只影响浏览器自动填充的 Referer，**不能手动设置或伪造 Referer 值**；真正精细控制来源隐私，需要结合策略选择、请求上下文和后端配合。

fetch 中 referrerPolicy 的作用与限制

这个选项用于告诉浏览器“按什么规则生成 Referer”，而不是把某个字符串塞进请求头。它只在浏览器决定是否发、发多少 Referer 时起效，且仅对 fetch 请求本身生效（不改变页面级策略）。

• 它不覆盖后端 Referrer-Policy 响应头：如果服务端返回 Referrer-Policy: strict-origin-when-cross-origin，fetch 调用中设 referrerPolicy: "no-referrer" 仍会遵循响应头（除非显式覆盖）
• 它不影响 headers 里手动写的 Referer：如果你在 headers: { Referer: "https://fake.com" } 里硬写，这个值会被发送（但多数现代浏览器会忽略或拦截——尤其跨域时）
• 合法取值有限：支持 "no-referrer"、"no-referrer-when-downgrade"、"origin"、"origin-when-cross-origin"、"same-origin"、"strict-origin"、"strict-origin-when-cross-origin" —— 拼错就退回到默认策略

什么时候该用 referrerPolicy？

适用于你希望某次 fetch 请求比全局策略更保守（比如调用含敏感参数的第三方 API），或更宽松（如调试需完整路径），且该请求不受后端响应头约束时。

Alibabacloud Sdk Client Initialization For Java

在 Java 中初始化和管理阿里云 SDK客户端。包括单例模式、线程安全、endpoint 与 region 配置、VPC 终端节点、同步与异步等。

下载

• 调用 CDN 图片上传接口，怕 Referer 泄露当前页面路径 → referrerPolicy: "origin"
• 向统计服务发埋点，但不想暴露具体页面 URL → referrerPolicy: "no-referrer"
• 同域 API 调用需保留路径用于日志归因，跨域则只发源 → referrerPolicy: "strict-origin-when-cross-origin"

真正可控的 Referer 设置方式

若服务器明确校验 Referer（如反盗链、来源白名单），仅靠 referrerPolicy 不够，必须确保请求头中实际携带合规值：

立即学习“Java免费学习笔记（深入）”；

• 同域请求：浏览器自动填 Referer，用 referrerPolicy 控制精度即可
• 跨域请求且服务端允许自定义：在 headers 中显式添加 {"Referer": "https://your-domain.com/path"}（注意大小写，且需服务端 CORS 允许该 header）
• 敏感标识别放 URL：避免 ?token=xxx 出现在 Referer 中，改用 POST body 或 Authorization header 传认证信息

比 referrerPolicy 更可靠的组合方案

单靠前端 JS 配置易被绕过或失效，建议分层加固：

• 后端统一设 HTTP 响应头 Referrer-Policy: strict-origin-when-cross-origin（Nginx/FastAPI 等均可配）
• 关键 fetch 调用显式传 {referrerPolicy: "no-referrer"}，尤其是调用第三方或含临时令牌的接口
• 外链跳转用 rel="noreferrer noopener"，既清 Referer 又防 opener 劫持
• CDN 或静态资源加载失败时，优先检查 Referer 校验逻辑，再调整对应 <img> 或 <script> 标签的 referrerpolicy 属性