iframe 的 referrerpolicy 属性只控制 iframe 内部页面向第三方发起的请求（如内嵌的 img、script）的 Referer，不控制父页面加载该 iframe 时发送的 Referer；后者需由父页面的 HTTP 响应头 Referrer-Policy 全局配置。
iframe 的 referrerpolicy 控制的是谁的 Referer？
它只控制 <iframe> 内部页面向第三方发起的请求（比如 iframe 里加载的 <img>、<script>、<link>），不是父页面加载这个 iframe 时发给它的 Referer。这点常被搞反——加了属性却还看到第三方 widget 拿到父页完整 URL，那是因为 widget 是通过 window.parent.location 或 document.referrer 读 JS 上下文，和 HTTP Referer 头无关。
referrerpolicy="no-referrer" 和 "origin" 在 iframe 里怎么选？
选值前先看 iframe 里是否加载第三方资源：
-
no-referrer：适合嵌入广告、分析脚本等绝对不想暴露来源的场景，确保 iframe 内所有子资源请求都不带Referer头 -
origin：更常用，iframe 里调第三方 API 或图片时只发https://your-site.com，不泄露路径和 query 参数，平衡安全与服务端校验兼容性 -
strict-origin-when-cross-origin：默认值，但对 iframe 内部资源意义不大；同源发全路径，跨域只发 origin，HTTPS→HTTP 时清空 -
unsafe-url：生产环境禁用，会把?token=xxx或/admin/user/123全发出去
为什么加了 referrerpolicy 还是被拦截或统计失效？
常见原因不是属性写错了，而是作用对象或环境不匹配：
- 属性必须直接写在
<iframe>标签上，<div referrerpolicy="no-referrer"><iframe src="..."></div>完全无效 - 旧版 Safari（≤15.4）忽略该属性，得靠服务端 Referer 白名单兜底
- 父页面加载 iframe 本身的 Referer 行为由全局策略决定：
Referrer-Policy响应头 ><meta name="referrer">> 浏览器默认，<iframe>上的属性对它不起作用 - CDN 或后端校验 Referer 时，若只允许
https://yoursite.com/*（完整路径），而你设的是origin（只发https://yoursite.com），就会 403
真正要隐藏父页面来源，只能靠响应头
如果第三方 iframe 提供方明确要求“不能暴露父页 URL”，仅靠前端 referrerpolicy 属性做不到。必须在父页面的 HTTP 响应头中统一配置，例如 Nginx：
立即学习“前端免费学习笔记（深入）”；
add_header Referrer-Policy "origin-when-cross-origin" always;
always 很关键——确保 4xx/5xx 错误页也生效，避免 /admin?session=abc 这类敏感路径在报错时意外泄露。这个响应头优先级最高，会覆盖大部分元素级设置（no-referrer 除外）。
