HTTP_REFERER的可靠性如何？

Question

我需要检查并记录我的Web应用程序的访问者的推荐人.使用的可靠性如何HTTP_REFERER？还有其他选择吗？

Answer 1

使用HTTP_REFERER不可靠,它的值取决于Referer浏览器或客户端应用程序发送到服务器的HTTP 头,因此不可信.

关于Referer标题,RFC2616的第15.1.2节规定:

因此,应用程序应该尽可能多地控制该信息的提供者.

和

我们建议,但不要求,为用户提供方便的切换界面,以启用或禁用发送From和Referer信息.

许多在线隐私工具都会破坏这一价值,许多浏览器(如FireFox)长期以来都允许用户阻止此标头发送.简而言之,我不会为了任何严肃的目的而依赖它.例如,保护表单以便驱逐垃圾邮件发送者无法发布值,因为Referer可能会欺骗.

进一步阅读请参阅:

使用referer字段进行身份验证或授权(WayBackMachine)