iframe referrerpolicy 属性如何控制跨域请求发送的 URL 信息
通过设置 referrerpolicy 属性，可以精确控制跨域 iframe 加载时是否发送 Referer 头部以及发送的具体内容。
referrerpolicy 属性的默认行为与安全限制
iframe 元素的 referrerpolicy 属性决定了在加载跨域资源时，父页面会向目标服务器发送什么样的引用信息。默认情况下，浏览器会根据安全策略发送完整的 URL 信息，这可能会泄露页面路径等敏感数据。根据 MDN 文档，如果不设置该属性，浏览器会根据当前页面的 referrer 策略决定发送内容，这可能导致隐私泄露。
为了保护用户隐私，浏览器对跨域请求的引用信息有严格的限制。当父页面与 iframe 的源不同时，浏览器会限制发送的信息范围，通常只包含协议、主机和端口。MDN 文档指出，这种限制是为了防止敏感路径信息被第三方网站获取，确保跨域通信的安全性。因此，默认行为可能并不总是符合隐私保护的需求。
不同 referrerpolicy 值的具体控制效果
referrerpolicy 属性支持多种值，每种值对应不同的引用信息发送策略。例如，设置 origin-when-cross-origin 会在同源请求中发送完整 URL，而在跨域请求中仅发送源信息。MDN 文档详细列出了这些值，包括 no-referrer、origin、strict-origin 等，每种值都针对不同的安全场景提供了精确的控制。
unsafe-url 值会发送完整的 URL（包括路径），但会移除片段、密码和用户名。这种设置虽然提供了完整的上下文信息，但存在安全风险，因为它可能将 TLS 保护的资源路径泄露给不安全的源。MDN 文档警告，这种值不推荐用于生产环境，因为它可能违反隐私保护原则。
如何设置 referrerpolicy 属性并验证效果
在 HTML 中设置 referrerpolicy 属性非常简单，只需在 iframe 标签中添加该属性即可。例如，设置 referrerpolicy='origin-when-cross-origin' 可以在跨域请求中仅发送源信息。MDN 文档建议，根据业务需求选择合适的值，以平衡功能需求与隐私保护。
验证 referrerpolicy 属性的效果可以通过开发者工具的 Network 面板进行。在加载跨域 iframe 后，检查请求头中的 Referer 字段，确认其内容是否符合预期。如果设置了 no-referrer，Referer 头将不存在；如果设置了 origin，Referer 将仅包含源信息。这种验证方法可以直观地确认属性是否生效。
referrerpolicy 与同源策略的协同作用
referrerpolicy 属性与同源策略是两个独立的机制，但它们共同作用于跨域请求的安全性。同源策略限制了跨域访问 DOM 和 Window 对象，而 referrerpolicy 限制了引用信息的发送。MDN 文档强调，即使同源策略允许某些操作，referrerpolicy 仍然可以进一步控制信息的泄露。
在实际应用中，结合使用同源策略和 referrerpolicy 可以构建更安全的嵌入内容环境。例如，即使同源策略允许父页面访问 iframe 的内容，通过设置 referrerpolicy='no-referrer' 也可以防止敏感路径信息被 iframe 的源服务器获取。这种组合策略确保了嵌入内容的安全性。
资料与延伸阅读
你可以通过以下原始资料核对文中概念，并继续深入阅读。