JavaScript的fetch是否暴露请求来源？第三方API能否识别网站来源？

当你在浏览器环境下用fetch调用第三方API时，服务端既能获取用户设备的IP地址，也能识别请求来自哪个特定网站，核心原因是浏览器会自动给fetch请求添加Referer（部分浏览器拼写为Referrer）请求头：

• 这个请求头默认会包含发起请求的页面完整URL（或仅保留协议+域名+端口的源信息，具体取决于浏览器安全规则和目标API配置），第三方API的服务端读取这个头就能明确请求来自哪个网站。
• 用户设备的IP地址属于TCP连接层面的信息，服务端同样可以获取，但它只能定位用户大致地理位置，无法直接对应到具体网站。

如果需要控制来源信息的暴露程度，你可以给fetch设置referrerPolicy选项：

• 设置为'no-referrer'：完全不发送Referer头，服务端无法通过该方式识别来源网站
• 设置为'origin'：仅发送协议+域名+端口的源信息，不暴露具体页面路径

你的代码示例：

const res = await fetch(
"https://api.dexscreener.com/latest/dex/tokens/" + 0x00000000000...
);

内容的提问来源于stack exchange，提问作者user2640145