一个拼写错误让整个互联网一起犯错

在 Web 开发的世界里,有这样一个字段------它每天默默地工作着,记录着用户的来源,保护着网站的安全,却因为一个历史性的拼写错误而成为了程序员们茶余饭后的谈资。它就是 HTTP 头部中的 Referer 字段。

什么是 HTTP Referer

HTTP Referer 是一个请求头字段,用于告诉服务器用户是从哪个页面链接过来的。当你从一个网页点击链接跳转到另一个网页时,浏览器会自动在新的 HTTP 请求中添加 Referer 头,其值为上一个页面的 URL。

arduino 复制代码
Referer: https://example.com/page1.html

这告诉服务器,用户是从 www.example.com/page1.html 这个页面跳转过来的。

核心作用

1. 流量来源分析

网站运营者可以通过分析 Referer 信息了解:

  • 用户从哪些网站访问过来
  • 哪些页面是主要的流量入口
  • 外部链接的效果如何
  • 用户的浏览路径和行为习惯

2. 防盗链保护

许多网站利用 Referer 来防止其他网站直接链接自己的图片、视频等资源。服务器可以检查 Referer 是否来自允许的域名,如果不是则拒绝请求。

ruby 复制代码
# nginx 图片防盗链配置
location ~* .(jpg|jpeg|png|gif|ico|css|js)$ {
    valid_referers none blocked server_names
                   *.mysite.com *.mydomain.com;
    if ($invalid_referer) {
        return 403;
    }
}

3. 安全防护

用于 CSRF 攻击防护和恶意请求检测:

bash 复制代码
# nginx CSRF 攻击防护
location /api {
    valid_referers none blocked server_names *.example.com;
    if ($invalid_referer) {
        return 403;
    }
    proxy_pass http://backend;
}

这样就可以检查请求是否来自合法域名(*.example.com)。

著名的拼写错误

HTTP Referer 存在一个著名的拼写错误:正确的英文单词应该是 "Referrer",但在 1995 年制定 HTTP/1.0 规范时被误写为 "Referer"(少了一个 r)。

当错误被发现时,HTTP 协议已经广泛部署,为保持向后兼容性,这个拼写错误被永久保留:

  • HTTP 头部 :使用错误拼写 Referer
  • HTML 属性 :使用正确拼写 referrer
xml 复制代码
<!-- HTML中使用正确拼写 -->
<meta name="referrer" content="origin">

<!-- HTTP头中使用错误拼写 -->
Referer: https://example.com

Referrer-Policy 策略

为了解决隐私问题,W3C 制定了 Referrer Policy 规范,提供了精细的控制机制,现代浏览器支持 Referrer-Policy 来控制 Referer 的发送行为:

策略值

策略 描述 使用场景
no-referrer 不发送 Referer 最高隐私保护
no-referrer-when-downgrade HTTPS 到 HTTP 时不发送,其他情况正常发送 现代浏览器默认
origin 只发送协议、域名和端口 平衡功能和隐私
origin-when-cross-origin 同源发送完整 URL,跨域只发送域名 推荐的默认策略
same-origin 仅同源请求发送 Referer 内部分析
strict-origin 类似 origin,但 HTTPS 到 HTTP 时不发送: 较少
strict-origin-when-cross-origin 综合考虑安全性的策略 现代浏览器默认
unsafe-url 始终发送完整 URL 较少

设置方法

HTTP 响应头:

arduino 复制代码
res.setHeader('Referrer-Policy', 'strict-origin-when-cross-origin');

HTML Meta 标签:

ini 复制代码
<meta name="referrer" content="strict-origin-when-cross-origin">

元素级别控制:

ini 复制代码
<a href="https://external.com" referrerpolicy="no-referrer">外部链接</a>
<img src="image.jpg" referrerpolicy="origin">

rel 属性相关值

noreferrer

阻止发送 Referer 头:

ini 复制代码
<a href="https://external.com" rel="noreferrer">不发送Referer</a>

noopener

防止新窗口访问原窗口对象:

ini 复制代码
<a href="https://external.com" target="_blank" rel="noopener">安全新窗口</a>

nofollow

告诉搜索引擎不要跟踪链接:

ini 复制代码
<a href="https://untrusted.com" rel="nofollow">不被索引的链接</a>

组合使用

ini 复制代码
<a href="https://external.com"
   target="_blank"
   rel="noopener noreferrer nofollow">
   完全安全的外部链接
</a>

总结

HTTP Referer 虽然只是一个小小的请求头,但它承载着 Web 发展的历史,见证了互联网从功能至上到隐私保护的转变。那个著名的拼写错误也提醒我们,技术标准的制定需要更加严谨和谨慎。

相关推荐
青草地溪水旁2 小时前
HTTP数据之旅:一个网络请求的完整冒险
网络·网络协议·http
2501_927773074 小时前
Linux系统操作编程——http
网络·网络协议·http
无级程序员2 天前
kubernetes-dashboard使用http不登录
http·容器·kubernetes
熬夜苦读学习2 天前
Reactor 反应堆模式
运维·服务器·网络·网络协议·http·智能路由器·php
小晶晶京京2 天前
day38-HTTP
网络·网络协议·学习·http
前端世界2 天前
鸿蒙应用网络开发实战:HTTP、WebSocket、文件下载与网络检测全攻略
网络·http·harmonyos
cloudcruiser3 天前
Apache HTTP Server:深入探索Web世界的磐石基石!!!
前端·其他·http·apache
成富3 天前
MCP 传输方式,stdio、HTTP SSE 和 Streamable HTTP
网络·网络协议·http
Aczone283 天前
Linux 软件编程(九)网络编程:IP、端口与 UDP 套接字
linux·网络·网络协议·tcp/ip·http·c#
now_cn3 天前
HTTP 与 HTTPS:网络通信幽径上的安全秘钥
安全·http·https