通过.htaccess设置no-referrer、no-opener和no-follow是否可行？

我们逐个拆解你配置里的三个规则，明确它们的实际效果：

1. Referrer-Policy: no-referrer #

这个配置完全有效。
mod_headers模块支持直接设置Referrer-Policy响应头，全局生效后，所有页面的请求都会带上这个头，浏览器会完全不发送Referer信息，符合你全局禁用来源标识的需求。用<IfModule mod_headers.c>包裹是合理的，能避免服务器未启用该模块时出现错误。

2. X-Opener-Policy: no-opener #

这个配置无效。
浏览器并不识别X-Opener-Policy这个自定义头，要实现no-opener的隔离效果，正确的响应头是Cross-Origin-Opener-Policy。如果需要完全隔离跨页面的opener关联，通常设置为：

Header set Cross-Origin-Opener-Policy "same-origin"

该头会限制页面只能与同来源的文档共享浏览上下文组，达到类似no-opener的安全隔离效果。

3. X-Robots-Tag: nofollow #

这个配置有效，但写法可以简化。
你通过RewriteRule设置环境变量再关联Header的方式能生效，但完全没必要这么绕，直接用mod_headers就能全局设置：

Header set X-Robots-Tag "nofollow"

这样更简洁，同样能告诉搜索引擎不要跟随当前页面内的所有链接，实现全局nofollow的需求。

修正后的完整配置 #

<IfModule mod_headers.c>
    # 全局禁用Referer信息
    Header set Referrer-Policy "no-referrer"
    # 正确配置跨页面opener隔离
    Header set Cross-Origin-Opener-Policy "same-origin"
    # 全局设置nofollow
    Header set X-Robots-Tag "nofollow"
</IfModule>

内容的提问来源于stack exchange，提问作者Mehul Kumar