从https页面转到HTTP页面时,是否会发送HTTP标头Referer?

这 HTTP RFC 州,在节 15.1.3 Encoding Sensitive Information in URI's

客户不应包括推荐人 (非安全)HTTP中的标头字段 如果引用页面是 通过安全协议传输。

因此,这是预期/标准行为。

事实上,它不再那么直接了(2014年以后),根据这个 w3c document on referrer policy .

默认行为是,当从HTTPS切换到HTTP时,浏览器不会发送引用者信息。但是,当从HTTPS切换到HTTPS时,浏览器会发送引用者。

此外,在HTML5中,有一个名为referrer的新元标签,看起来像这样:

<meta name="referrer" content="origin">

New browsers have already implemented this 因此,浏览器是否会发送引用者,将取决于不久的将来这个元标签。如果此元标记未包含在页面的HTML中,则浏览器将使用默认行为。

以下是引用者元标签的内容属性的可能值:

• 无推荐人:无论HTTP或HTTPS如何,都不会发送推荐人
• 跨源时的源:同一源将发送完整的引用者URL,跨源将仅发送源URL作为引用者
• 降级时没有引用者:这是页面上没有提供引用者元标记时的默认行为。
• 不安全网址:无论HTTP或HTTPS如何,这都会发送引用者

此外,引用者元标记还有一些遗留属性值。这些不再被推荐,但目前在许多网站上使用:

• 从不:就像没有推荐人一样
• 默认值:降级时无引用者
• 总是:与不安全url相同

我希望这些信息对2014年后才发现这篇文章的人有所帮助。

是,定义见 standard :

客户不应包括推荐人 (非安全)HTTP中的标头字段 如果引用页面是 通过安全协议传输