伪造Referer大概率失败——严格防盗链站点需Referer与Origin同时匹配且语义合理，并校验User-Agent、Cookie有效期、Accept头及URL编码等多维度参数。
直接伪造 Referer 大概率失败——严格防盗链站点（如梨视频、知乎图片、部分CDN托管资源）不仅校验 Referer，还会同步比对 Origin、User-Agent、请求路径结构甚至 Cookie 有效期。光填一个 Referer 就想绕过，基本等于裸奔。
Referer 和 Origin 必须同时匹配且语义合理
很多现代站点（尤其用 Cloudflare 或自研网关的）会强制要求 Referer 和 Origin 一致或满足子域/协议约束。比如目标资源 URL 是 https://cdn.example.com/img/logo.png，而你设 Referer: https://evil.com + Origin: null，服务器直接 403。
-
Origin必须是合法 scheme + host（如https://www.example.com），不能带路径；Referer可以带完整 URL（如https://www.example.com/article/123），但必须和Origin的 host 部分一致或为其子域 - 若目标页面是单页应用（SPA），
Origin常为页面域名，Referer则应为该页面具体路由（如/dashboard或/post/abc），不能随便填首页 - 用浏览器开发者工具 Network 面板抓一次真实请求，复制完整的
Referer和Origin值——别自己编，后端可能做正则匹配或路径前缀校验
User-Agent 不只是“要填”，而是要和 Referer 风格对齐
填了 Referer: https://www.zhihu.com/question/123 却用 User-Agent: python-requests/2.31.0，等于告诉服务器“我在用脚本访问知乎问题页”，立刻触发组合拦截。
- Chrome 浏览器访问知乎，UA 里必含
Chrome/和Safari/字段；访问 Safari 页面，UA 里不该出现Edg/ - 建议准备 3–5 个真实 UA 字符串（从 Chrome、Firefox、Safari 最新版中取），按目标站点常用终端比例轮换，而不是用
fake-useragent动态生成——它默认发 HTTP 请求查 UA 库，容易暴露行为特征 - 某些站点（如微信公众号后台图床）还会校验
Accept和Accept-Language，补上{"Accept": "image/webp,*/*", "Accept-Language": "zh-CN,zh;q=0.9"}能显著提升通过率
Session 不继承 Referer，Origin 更不会自动带
很多人以为先 session.get("https://site.com/article/123") 再 session.get("https://cdn.site.com/img.jpg") 就能“延续 Referer”，这是错觉。requests.Session 不维护 Referer 状态，Origin 字段压根不会被 session 自动添加。
立即学习“Python免费学习笔记（深入）”；
- 每个资源请求都必须显式构造 headers，
Referer和Origin都得手动传进去 - 如果目标资源 URL 是动态拼接的（如梨视频的
srcUrl经过字符串翻转混淆），记得先用真实 Referer 请求接口拿到原始地址，再用同一套 headers 去 get 真实视频流 - Cookie 若参与防盗链（如论坛图片），需确保 session 已登录并携带有效 Cookie，且该 Cookie 未过期——过期 Cookie + 正确 Referer 仍会 403
最易被忽略的一点：URL 编码。Referer 中含中文路径或 query 参数（如 https://site.com/文章?id=1）时，必须用 urllib.parse.quote 全量编码，否则后端解析 Referer 失败，直接当非法来源处理。
