为何Sec-Fetch-*请求头仅支持HTTPS，HTTP环境无法获取？

核心原因是浏览器和标准的安全设计考量：

• Sec-Fetch-*系列头是W3C Fetch Metadata标准的一部分，本质是给服务器提供请求的上下文信息（比如请求从哪里发起、是不是用户主动触发的），用来防御CSRF、XSSI这类跨站攻击。
• HTTP是明文传输协议，请求头在传输途中可能被中间代理、路由器篡改。如果在HTTP环境下发这些头，服务器根本没法信任它们的真实性——攻击者随便就能伪造Sec-Fetch-Site或Sec-Fetch-User的值，这些安全头就完全失去了防御意义。
• 所以浏览器严格遵循标准，只在安全上下文里自动添加这些头：也就是HTTPS协议的站点，或者localhost本地环境（因为本地传输不存在被篡改的风险）。

针对你要区分两种访问场景的需求，HTTP环境下可以试试这些替代方案：

• 自定义请求头：比如给直接访问的请求加X-Access-Mode: direct，但要注意这个方法只适合内部可控的环境，毕竟HTTP下头可能被篡改。
• 分析Referer头：直接输入地址或点击书签访问时，Referer通常为空；重定向过来的请求，Referer会带上重定向来源的地址（不过部分浏览器可能因隐私设置不发送Referer）。
• 会话标记：直接访问时在会话里初始化一个特定标记，重定向过来的请求复用之前的会话信息做区分。

内容的提问来源于stack exchange，提问作者Leonardhan