<meta name="referrer" content="origin">不能防盗链，它仅控制本页发起请求时向第三方发送的Referer为源站（如https://your-site.com），不带路径参数，属隐私保护而非访问控制；防盗链必须依赖服务端Referer校验或签名URL。
meta name="referrer" content="origin" 不能防盗链
它根本不起防盗链作用。加了这行代码，别人照样能用 <img src="your-cdn.com/photo.jpg"> 直接盗链你的图片——因为这个 <meta> 只控制「你自己的页面发起的请求」是否发 Referer，不控制「别人请求你的资源」时你服务器要不要放行。
origin 策略的真实作用是收敛自己发出的 Referer
当你页面里引用第三方资源（比如 CDN 图片、统计脚本、广告 iframe）时，content="origin" 会让浏览器只把 https://your-site.com 发给对方，不带路径和参数（如 /admin?token=abc）。这属于隐私保护，不是访问控制。
常见适用场景包括：
- CDN 静态资源加载，对方需按域名计费但无需知道具体页面路径
- 嵌入第三方统计脚本，只需让对方识别站点来源，不暴露路由结构
- 多子域协作（如
app.example.com→api.example.com），需保留源以支持 CORS 白名单
为什么你加了 origin 还是被 403？
真正导致 403 的，是目标服务器（比如你引用的图床或 CDN）在服务端做了 Referer 校验。它检查的是「请求头里的 Referer 字段值是否合法」，而你的 <meta name="referrer"> 对这种请求完全没影响——那是别人发过来的请求，不是你发出去的。
立即学习“前端免费学习笔记（深入）”；
典型错误现象：
- 你在页面里加了
</meta name="referrer" content="origin"> - 但引用的
<img src="https://cdn.example.com/photo.jpg">仍 403 - 原因是 cdn.example.com 的 Nginx 配置了
valid_referers none blocked *.mydomain.com;，而你当前页域名不在白名单里
真正该做的：服务端校验 + 前端属性配合
前端所有 referrerpolicy 或 <meta name="referrer"> 都只是单向“不发”或“少发”，无法阻止别人访问。防盗链必须靠后端拦截：
- Nginx 示例：
valid_referers none blocked server_names *.yourdomain.com; if ($invalid_referer) { return 403; } - CDN（Cloudflare / 阿里云）开启 Referer 黑白名单规则
- 若必须用前端手段缓解，应直接写在资源标签上：
<img src="..." referrerpolicy="no-referrer">（注意不是<meta>）
最容易被忽略的一点：只要资源 URL 是公开可访问的，且服务端没做 Referer 或签名校验，前端任何策略都形同虚设。
