搜索

[8623] 2015-01-26_使用RefererMeta标签控制referer—详解referrer-policy

文档创建者：s7ckTeam
浏览次数：9
最后更新：2025-01-17
2015-01-26_使用RefererMeta标签控制referer—详解referrer-policy 使 用   R e f e r e r   M e t a   标 签 控 制   r e f e r e r — 详 解   r e f e r r e r - p o l i c y F r e e B u f   2 0 1 5 - 0 1 - 2 6 本 文 描 述 了 一 个 关 于 本 文 描 述 了 一 个 关 于   h t t p   协 议 中 协 议 中   r e f e r e r   的 的   m e t a d a t a   参 数 的 提 议 ， 使 用 这 个 参 数 的 提 议 ， 使 用 这 个   m e t a d a t a   参 数 ， 参 数 ， h t m l   文 档 可 以 控 制 文 档 可 以 控 制   h t t p   请 求 中 的 请 求 中 的   r e f e r e r   ， 比 如 是 否 发 送 ， 比 如 是 否 发 送   r e f e r e r 、 只 发 送 、 只 发 送   h o s t n a m e   还 是 发 还 是 发 送 完 整 的 送 完 整 的   r e f e r e r   等 。 虽 然 有 一 些 方 法 可 以 控 制 等 。 虽 然 有 一 些 方 法 可 以 控 制   r e f e r e r   ， 比 如 ， 比 如   f l a s h ， 以 及 一 些 ， 以 及 一 些   j s   的 的   t r i c k s ， 但 是 本 文 中 描 述 的 是 另 外 一 番 景 象 。 ， 但 是 本 文 中 描 述 的 是 另 外 一 番 景 象 。 使 用 场 景 使 用 场 景 在 某 些 情 况 下 ， 出 于 一 些 原 因 ， 网 站 想 要 控 制 页 面 发 送 给   s e r v e r   的   r e f e r e r   信 息 的 情 况 下 ， 可 以 使 用 这 一   r e f e r e r   m e t a d a t a   参 数 。 隐 私 隐 私 社 交 网 站 一 般 都 会 有 用 户 个 人 页 面 ， 这 些 页 面 中 用 户 都 有 可 能 添 加 一 些 外 网 的 链 接 ， 而 社 交 网 站 有 可 能 不 希 望 在 用 户 点 击 了 这 些 链 接 的 时 候 ， 泄 露 用 户 页 面 的   U R L   ， 因 为 这 些   U R L   中 可 能 包 含 一 些 敏 感 信 息 。 当 然 ， 有 些 社 交 网 站 可 能 只 想 在   r e f e r e r   中 提 供 一 个   h o s t n a m e ， 而 不 是 完 整 的   U R L   信 息 。 安 全 安 全 有 些 使 用 了 有 些 使 用 了   h t t p s   的 网 站 ， 可 能 在 的 网 站 ， 可 能 在   U R L   中 使 用 一 个 参 数 中 使 用 一 个 参 数 ( s i d   等 等 ) 来 作 为 用 户 身 份 凭 证 ， 而 又 需 要 引 入 其 他 来 作 为 用 户 身 份 凭 证 ， 而 又 需 要 引 入 其 他   h t t p s   网 站 的 资 源 ， 这 种 情 况 下 ， 网 站 肯 定 不 希 望 泄 露 用 户 的 身 份 凭 证 信 息 。 网 站 的 资 源 ， 这 种 情 况 下 ， 网 站 肯 定 不 希 望 泄 露 用 户 的 身 份 凭 证 信 息 。 O b j e c t - C a p a b i l i t y   D i s c i p l i n e 有 些 网 站 遵 循 O b j e c t - C a p a b i l i t y   D i s c i p l i n e ， 而   r e f e r e r   刚 好 与 这 一 策 略 相 悖 ， 所 以 ， 网 站 能 够 控 制   r e f e e r   将 对   O b j e c t - C a p a b i l i t y   D i s c i p l i n e   很 有 利 。 技 术 细 节 技 术 细 节 r e f e r e r   的   m e t e d a t a   参 数 可 以 设 置 为 以 下 几 种 类 型 的 值 ： n e v e r a l w a y s o r i g i n d e f a u l t 如 果 在 文 档 中 插 入   m e t a   标 签 ， 并 且   n a m e   属 性 的 值 为   r e f e r e r ， 浏 览 器 客 户 端 将 按 照 如 下 步 骤 处 理 这 个 标 签 ： 1 . 如 果   m e t a   标 签 中 没 有   c o n t e n t   属 性 ， 则 终 止 下 面 所 有 操 作 2 . 将   c o n t e n t   的 值 复 制 给   r e f e r r e r - p o l i c y   ， 并 转 换 为 小 写 3 . 检 查   c o n t e n t   的 值 是 否 为 上 面   l i s t   中 的 一 个 ， 如 果 不 是 ， 则 将 值 置 为   d e f a u l t 上 述 步 骤 之 后 ， 浏 览 器 后 续 发 起   h t t p   请 求 的 时 候 ， 会 按 照   c o n t e n t   的 值 ， 做 出 如 下 反 应 ( 下 面   r e f e r e r - p o l i c y   的 值 即   m e t a   标 签 中   c o n t e n t   的 值 ) ： 1 . 如 果   r e f e r e r - p o l i c y   的 值 为 n e v e r ： 删 除   h t t p   h e a d   中 的   r e f e r e r ； 2 . 如 果   r e f e r e r - p o l i c y   的 值 为 d e f a u l t ： 如 果 当 前 页 面 使 用 的 是   h t t p s   协 议 ， 而 正 要 加 载 的 资 源 使 用 的 是 普 通 的   h t t p   协 议 ， 则 将   h t t p   h e a d e r   中 的   r e f e r e r   置 为 空 ； 3 . 如 果   r e f e r e r - p o l i c y   的 值 为   o r i g i n ： 只 发 送   o r i g i n   部 分 ； 4 . 如 果   r e f e r e r - p o l i c y   的 值 为   a l w a y s ： 不 改 变 h t t p   h e a d e r   中 的   r e f e r e r   的 值 ， 注 意 ： 这 种 情 况 下 ， 如 果 当 前 页 面 使 用 了   h t t p s   协 议 ， 而 要 加 载 的 资 源 使 用 的 是   h t t p   协 议 ， 加 载 资 源 的 请 求 头 中 也 会 携 带   r e f e r e r 。 例 子 例 子 如 果 页 面 中 包 含 了 如 下   m e t a   标 签 ， 所 有 从 当 前 页 面 中 发 起 的 请 求 将 不 会 携 带   r e f e r e r ： < m e t a   n a m e = " r e f e r r e r "   c o n t e n t = " n e v e r " > 如 果 页 面 中 包 含 了 如 下   m e t a   标 签 ， 则 从 当 前 页 面 中 发 起 的   h t t p 请 求 将 只 携 带   o r i g i n   部 分 （ 注 ： 根 据 原 文 中 的 语 境 ， 我 理 解 这 里 的   o r i g i n   是 包 含 了   s c h e m a   和   h o s t n a m e   的 部 分   u r l ， 不 包 含   p a t h   等 后 面 的 其 他   u r l   部 分 ） ， 而 不 是 完 整 的   U R L   ： < m e t a   n a m e = " r e f e r r e r "   c o n t e n t = " o r i g i n " > 注 意 ： 在 使 用 本 文 中 所 述 的   m e t a   标 签 的 时 候 ， 浏 览 器 原 有 的   r e f e r e r   策 略 将 被 打 破 ， 比 如 从   h t t p   协 议 的 页 面 跳 转 到   h t t p s   的 页 面 的 时 候 ， 如 果 设 置 了 适 当 的 值 ， 也 会 携 带   r e f e r e r 。 其 他 问 题 其 他 问 题 这 与   r e l = n o r e f e r e r   有 什 么 关 系 呢 ？ 可 能   r e l = n o r e f e r e r   会 覆 盖 掉 本 文 中 的   m e t a   标 签 所 设 置 的 值 。 也 就 是 功 能 覆 盖 。 o r i g i n   信 息 不 是 一 个 完 整 的   u r l ， 所 以 浏 览 器 客 户 端 估 计 会 在   o r i g i n   后 面 加 一 个   /   来 作 为   p a t h   部 分 。 如 果   o r i g i n   是 唯 一 的 ， 会 发 生 什 么 情 况 呢 ？ 估 计   r e f e r e r   会 被 忽 略 。 译 者 注 译 者 注 这 篇 文 章 最 初 写 于 2 0 1 2 年 ， 目 前 在 原 始 页 面 已 经 是 废 弃 状 态 ， 并 且 已 经 提 供 了 w 3 c   的 r e f e r e r - p o l i c y   页 面 ， 但 是 ， 译 者 注 意 到 ， 目 前 很 多 网 站 在 防 御   C S R F   的 时 候 ， 都 采 用 校 验   r e f e r e r   的 方 法 ， 有 时 候 允 许   r e f e r e r   为 空 ， 并 且 某 些   B A T   厂 商 的 重 要 业 务 在 防 御   J S O N   劫 持 的 时 候 ， 也 采 用 校 验   r e f e r e r   的 方 法 并 允 许   r e f e r e r   为 空 ， 也 许 你 会 觉 得 本 文 中 描 述 的 只 是 一 种 提 议 ， 但 是 ， F i r e F o x   在 2 1 日 的 一 篇 文 章 中 已 经 声 明 ， 从   F i r e f o x   3 6   B e t a   开 始 ， 将 会 支 持   r e f e r e r - p o l i c y ， 这 无 疑 会 让 一 些 厂 商 的 业 务 面 临 威 胁 。 [ 参 考 来 源 参 考 来 源 w i k i . w h a t w g . o r g ， 转 载 请 注 明 来 自 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ 黑 客 与 极 客 （ F r e e B u f . C O M ） ） ] 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理