为什么没有为Google HTTPS移除引荐 - > HTTP

Question

Clients SHOULD NOT include a Referer header field in a (non-secure) HTTP request if the referring page was transferred with a secure protocol. https://tools.ietf.org/html/rfc2616#section-15.1.3

根据该标准,https://google.com不应将引荐发送到非安全网站,但确实如此.其他HTTPS站点是否将引荐发送到HTTP站点？

所有这些测试都是使用Chrome v33.0.1750.117完成的

要运行测试,我转到第一页,然后打开控制台并手动执行重定向. location = "http://reddit.com";

防爆.

https://google.com - > http://www.reddit.com 保留推荐

https://startpage.com/ - > http://www.reddit.com推荐被剥夺

https://bankofamerica.com - > http://reddit.com推荐被剥夺

https://facebook.com - > http://reddit.com推荐被剥夺

谷歌是否做了一些特别的事情来保持推荐？是否有保留推荐的HTTPS站点列表？是否还有其他情况需要删除推荐？

谢谢!

Answer 1

使用Google Chrome进行Google搜索时,搜索结果中会显示以下标记:

<meta content="origin" id="mref" name="referrer">

该origin值表示的,而不是完全省略Referer去的时候http从https,产地域名应的部位(例如搜索字符串将保持私营)中提供,但没有确切的页面.

在另一方面,链路聚合像龙虾有以下,从而确保整个URL将always在提供Referer,因为链接的故事是公共反正(由像Chrome和Safari浏览器),:

<meta name="referrer" content="always" />

截至2014年中期,这meta[@name="referrer"]只是针对HTML5的一项功能,并且它似乎没有在Gecko中实现 - 例如,只有Chrome和Safari声称支持它.

http://smerity.com/articles/2013/where_did_all_the_http_referrers_go.html

https://bugzilla.mozilla.org/show_bug.cgi?id=704320

http://wiki.whatwg.org/wiki/Meta_referrer

Answer 2

cnst 在上面正确回答了这个问题；它的内容=“起源”。这会迫使浏览器通过 HTTPS->HTTPS 和 HTTPS->HTTP 获得请求标头：

http-referer=https://www.google.com  

此功能允许网站在不将 URL 参数泄露给第三方的情况下获得流量信用。它很棒，因为它比过去人们在这里使用的要少得多。

目前有三个相互竞争的规格。我不知道哪个是权威的，并且怀疑它是混合的。在大多数方面，它们是相似的。

• http://www.w3.org/TR/referrer-policy/
• http://w3c.github.io/webappsec/specs/referrer-policy/
• https://wiki.whatwg.org/wiki/Meta_referrer

这是我知道的可用支持；如果我错了或遗漏了什么，希望人们让我知道。

现在：

• Chrome 17+ 在桌面上支持这个
• 适用于移动设备的 Chrome 25+
• iPad 和 iPhone 上的 Safari 6

未知版本：

• Desktop Safari 7 支持此功能；早期版本可能支持，但我没有浏览器来确认。

现在即将到来：

• IE12 Beta 有工作支持（本周新增）。
• Firefox 38 已为 2015 年 5 月的版本签入代码。https://bugzilla.mozilla.org/show_bug.cgi?id=704320