link标签本身不支持防盗链，仅通过referrerpolicy控制Referer发送；防盗链必须由服务端通过Referer或Origin校验实现，前端任何属性都无法阻止非法请求。
link标签本身不支持防盗链，只支持referrerpolicy控制Referer发送
<link> 标签没有 crossorigin 以外的防盗链能力，它不参与服务端的 Referer 或 Origin 校验流程。所谓“防盗链”，本质是服务端拦截非法请求并返回 403，而 <link> 只能影响自己页面发起的请求是否带 Referer 头——这和防别人盗你资源完全无关。
常见错误现象包括：<link rel="stylesheet" href="https://cdn.example.com/style.css"> 加载失败报 403，误以为是 HTML 写法问题；其实是因为 CDN 配置了 valid_referers 规则，而当前页面域名不在白名单里。
-
referrerpolicy属性可加在<link>上（如<link rel="stylesheet" href="..." referrerpolicy="no-referrer">），但仅控制该请求是否发Referer，不能绕过服务端拦截 - 老浏览器对
<link>的referrerpolicy支持弱于<img>和<script>，部分版本会静默忽略 - 如果服务端设置了
Referrer-Policy响应头，它会直接覆盖所有 HTML 中的referrerpolicy属性
link加载CSS/图标时403的典型原因和修复路径
当 <link rel="stylesheet"> 或 <link rel="icon"> 返回 403，基本可锁定为服务端 Referer 校验触发。注意：HTML 主文档本身不会被 Referer 校验拦截（因为首次访问 Referer 为空），但所有 <link> 引用的子资源都会。
将 Markdown 文章转换为微信公众号兼容的纯 HTML 格式。当用户要求"转成微信格式"、"生成公众号文章 HTML"、"排版到微信草稿箱"、"微信粘贴格式"时触发。输出带内联样式的纯 HTML，微信编辑器可直接渲染，无需额外适配。支持标题、段落、列表、粗体、行内代码、表格、引用块、代码块、配图的完整转换。
- Nginx 配置中若用了
valid_referers none blocked *.mydomain.com;，而当前页面域名不匹配，就会 403 - CDN（如 Cloudflare、阿里云 CDN）开启了 Referer 黑名单但未添加你的站点域名，也会拦截
- 不要对根路径
/或.html文件做 Referer 校验——微信内嵌页、PWA 启动页、爬虫等场景 Referer 为空或不可靠，会导致误拦 - 如果资源是跨域的（比如 CDN 域名 ≠ 页面域名），且服务端要求 CORS，必须加
crossorigin属性，否则即使没 403，也可能因 CORS 错误导致样式/图标不生效
真正有效的防盗链必须由服务端完成
前端加任何 meta、referrerpolicy 或 crossorigin，都只是调整请求头行为，无法阻止别人构造合法请求盗取你的资源。只要 URL 是公开可访问的，且服务端没做校验，加再多属性也没用。
立即学习“前端免费学习笔记（深入）”；
- 静态资源（.css、.png、.woff2 等）才适合用 Referer / Origin 校验；HTML 主文档不适用
- 高敏感资源（如用户头像、凭证图）应弃用 Referer 校验，改用签名 URL，例如
/avatar/123.jpg?sign=abc123&exp=1724256000 - CDN 厂商提供的 Referer 黑白名单功能比源站 Nginx 配置更可靠，也更容易灰度和回滚
- 测试时用
curl -H "Referer: https://evil.com" https://cdn.example.com/style.css直接模拟盗链请求，比看浏览器控制台更准
link标签中referrerpolicy值选哪个才合理
referrerpolicy 不是防盗链开关，而是隐私控制开关。选错值可能让服务端规则失效——比如设成 same-origin，跨域 <link> 实际不发 Referer，导致服务端收不到值而误放行。
-
no-referrer：最彻底，不发 Referer，适合隐私敏感页（如支付结果页引用第三方字体） -
origin：只发协议+域名，平衡隐私与功能，多数 CDN 防盗链规则能识别 -
strict-origin-when-cross-origin：推荐默认值，同域发完整 URL，跨域只发 origin，兼容性好 - 避免用
unsafe-url：完整 Referer 可能泄露敏感路径参数，如/admin?token=xxx
<link> 标签的职责是声明资源关系，不是守门员。只要服务端没校验，URL 就等于裸奔。 
