$.ajax({ url: 'http://www.baidu.com', beforeSend(xhr) { // 在发送ajax请求前设置header头部 xhr.setRequestHeader("Referer", "http://translate.google.com/"); xhr.setRequestHeader("User-Agent", "stagefright/1.2 (Linux;Android 5.0)"); }, success(data) { console.log(data); }, error(err) { console.log(err); } });
然而浏览器会报错：
那么 Referer 是怎么被自动设置的呢？这个得看 Referer-Policy属性 是怎么定义的：
no-referrer : 整个 Referer 首部会被移除。访问来源信息不随着请求一起发送。
no-referrer-when-downgrade （默认值）: 在没有指定任何策略的情况下用户代理的默认行为。在同等安全级别的情况下，引用页面的地址会被发送(HTTPS->HTTPS)，但是在降级的情况下不会被发送 (HTTPS->HTTP)。
origin : 在任何情况下，仅发送文件的源作为引用地址。例如 https://example.com/page.html 会将 https://example.com/ 作为引用地址。
origin-when-cross-origin : 对于同源的请求，会发送完整的URL作为引用地址，但是对于非同源请求仅发送文件的源。
same-origin : 对于同源的请求会发送引用地址，但是对于非同源请求则不发送引用地址信息。
strict-origin : 在同等安全级别的情况下，发送文件的源作为引用地址(HTTPS->HTTPS)，但是在降级的情况下不会发送 (HTTPS->HTTP)。
strict-origin-when-cross-origin : 对于同源的请求，会发送完整的URL作为引用地址；在同等安全级别的情况下，发送文件的源作为引用地址(HTTPS->HTTPS)；在降级的情况下不发送此首部 (HTTPS->HTTP)。
unsafe-url : 无论是同源请求还是非同源请求，都发送完整的 URL（移除参数信息之后）作为引用地址。
这个值可以通过三种方式来设置：
<meta content="origin"> <a href="https://example.com" referrerpolicy="origin"> <a href="https://example.com">
防反盗链
前端 JS 不能在头部设置 Referer 字段，和跨域一样是因为浏览器的安全策略，那么同样的在服务端进行请求就不会有这些限制，我们在服务端请求时就可以自由的修改 Referer 字段。
我们通过简单的 PHP 例子来完成这个功能：
<?php $url = 'http://t11.baidu.com/it/u=3008889497,862090385&fm=77'; $refer = 'https://www.baidu.com'; $ch = curl_init(); //以url的形式 进行请求 curl_setopt($ch, CURLOPT_URL, $url); //以文件流的形式 进行返回 不直接输出到浏览器 curl_setopt($ch, CURLOPT_RETURNTRANSFER, 1); //浏览器发起请求 超时设置 curl_setopt($ch, CURLOPT_CONNECTTIMEOUT, 30); //伪造来源地址 curl_setopt ($ch, CURLOPT_REFERER, $refer); $file = curl_exec($ch); curl_close($ch); header('Content-Type: text/html'); // 对图片进行base64编码，然后返回给前端展示 $file = base64_encode($file); echo "<img src='https://www.jb51.net/data:image/jpeg;base64,{$file}' />"; ?>
我们第一次请求注释了 伪造来源地址 这一行，第二次请求不注释这一行，这样可以验证执行结果：
总结
盗链和反盗链是一个对立面，技术不断升级，最终的目标也是为了开放资源和保护知识产权。在互联网生态里，我们通过反盗链保护我们的利益，也使用防反盗链的这种方式来扩大我们的内容，无论站在哪一方，都需要做到知己知彼。