HTML全局属性无法实现防盗链，真正防线在服务端；referrerpolicy须显式写于资源标签且大小写敏感，nonce仅用于CSP防XSS，oncontextmenu等前端干扰无效。
HTML 全局属性本身不提供防盗链或内容保护能力，它们只是配合后端策略的“辅助开关”——用错位置、写错大小写、依赖错误作用域，都会让防护形同虚设。
referrerpolicy 属性必须加在具体资源标签上，不是全局配置
很多人以为在 <head> 里加个 <meta name="referrer" content="no-referrer"> 就能拦住所有图片和脚本的 Referer，其实它只对页面跳转（如点击链接）生效，对 <img src>、<script src>、<link href> 这类解析时同步发起的请求完全无效。
-
referrerpolicy必须显式写在每个资源标签上：<img src="logo.png" referrerpolicy="no-referrer">、<script src="app.js" referrerpolicy="strict-origin-when-cross-origin"> - 值严格大小写敏感：
no-referrer有效，No-Referrer或no_referrer会被浏览器静默忽略，退化为默认策略 - 它不能阻止 Referer 字段发送，只能裁剪内容；真正彻底清空 Referer 的唯一原生方式是
rel="noreferrer"（仅适用于<a>和<form>）
nonce 属性防 XSS 但和防盗链无关，且极易配错
nonce 是 CSP 防御内联脚本执行的关键字段，但它和防盗链、视频保护、资源引用控制毫无关系。误把它当“防盗链令牌”加在 <video> 或 <source> 标签上，只会被浏览器忽略。
-
nonce只对带该属性的<script>或<style>标签起作用，且必须和服务端响应头中的Content-Security-Policy: script-src 'nonce-xxx'完全一致（包括大小写、长度、字符） - 硬编码、模板插值失败、用
<meta http-equiv="Content-Security-Policy">设置策略——这三种情况都会导致 nonce 失效 - Webpack/Vite 等构建工具注入的 runtime 脚本若没带 nonce，也会被 CSP 拦掉，造成白屏
oncontextmenu / onselectstart 是前端干扰项，非防盗链手段
这些事件处理器常被当作“防复制”方案塞进 HTML，比如 <body oncontextmenu="return false" onselectstart="return false">。它们既不能防止资源被直接请求，也无法阻止盗链者用 curl 或 Puppeteer 下载整个页面结构。
立即学习“前端免费学习笔记（深入）”；
- 右键禁用只影响鼠标操作，开发者工具（F12）、View Source、curl、wget、爬虫照常获取 HTML 源码
- 它们对
<video>的src、<iframe>的src、API 接口地址等关键路径毫无防护力 - 现代框架（React/Vue）下，这类内联事件容易被 hydration 覆盖或与事件委托冲突，反而引发交互异常
真正起效的 HTML 层动作只有两个：加载方式切换 + referrer 控制
HTML 层能做的有限但关键：一是把资源加载从明文 URL 切到受控通道，二是确保 Referer 不暴露敏感上下文。其他都得靠服务端兜底。
- 视频/音频资源不要直接写
<video src="https://cdn.com/video.mp4">，改用Blob URL或 MSE 加载，让src属性始终为空或指向本地对象 - 所有跨域资源（CDN 图片、字体、统计 JS）必须配
referrerpolicy，尤其是no-referrer或origin，避免当前页面 URL 泄露给第三方 -
X-Frame-Options: DENY和frame-ancestors 'none'（CSP）必须由服务端响应头下发，HTML 中无法通过任何属性模拟
最易被忽略的是：HTML 层的所有属性操作，都是“声明式提示”，浏览器可执行也可忽略；而防盗链真正的防线在服务端校验逻辑、Token 有效期、IP 绑定、CORS 白名单这些不可绕过的环节。把精力花在 referrerpolicy 大小写或 nonce 插值失败上，不如先确认 Nginx 的 valid_referers 规则是否真匹配到了图片请求的 $http_referer 字段。
