Chrome中出现意外Sec-Fetch-Site: none的GET请求，触发机制排查

问题描述 #

刷新localhost:3111/lp/...页面时，服务器收到两次GET请求：

• 预期请求：携带自定义头abc=123，Sec-Fetch-Site为same-origin，Referer指向当前刷新页面
• 意外请求：路径为/sources.list，无自定义头，Sec-Fetch-Site为none
  该问题仅在Chrome 112版本中出现，Safari无此现象。

排查步骤 #

1. 检查页面资源与浏览器扩展 #

• 全局搜索前端代码（HTML/CSS/JS），确认是否存在/sources.list的引用，包括：
  • HTML中的<link>、<script>标签
  • JS中的fetch、XMLHttpRequest调用
  • CSS中的url()资源引用
• 开启Chrome无痕模式（禁用所有扩展）重复操作，若意外请求消失，说明是某个扩展触发的，可逐一启用扩展定位具体来源。

2. 分析Sec-Fetch-Site: none的触发场景 #

该请求头表示请求来自非同源且非页面主动触发的场景，常见来源：

• Chrome内置服务或安全检查逻辑
• 外部程序/桌面应用调用Chrome发起的请求
• 浏览器扩展的后台请求
  结合/sources.list路径，可重点排查是否有软件源更新、本地开发工具的自动检查逻辑。

3. 用Chrome DevTools定位请求发起者 #

• 打开DevTools → Network面板，勾选Preserve log后刷新页面：
  • 查看意外请求的Initiator字段，直接定位发起者（页面脚本/浏览器自身/扩展）
  • 若Initiator显示other，检查请求头中的X-Chrome-Extension-Id（若存在），对应到具体扩展
• 切换到Performance面板，录制刷新全流程，通过调用栈追踪请求触发的源头。

4. 排查本地环境配置 #

• 检查本地服务器（如Express）的中间件或业务逻辑，是否存在自动发起/sources.list请求的代码
• 排查本地代理、防火墙、杀毒软件，这类工具可能会拦截并额外生成请求

请求头对比 #

预期请求 #

[
  [ 'Host', 'localhost:3111' ],
  [ 'Connection', 'keep-alive' ],
  [ 'sec-ch-ua', '"Chromium";v="112", "Google Chrome";v="112", "Not:A-Brand";v="99"' ],
  [ 'abc', '123' ],
  [ 'content-type', 'application/json' ],
  [ 'sec-ch-ua-mobile', '?0' ],
  [ 'User-Agent', 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.0.0 Safari/537.36' ],
  [ 'sec-ch-ua-platform', '"macOS"' ],
  [ 'Accept', '*/*' ],
  [ 'Sec-Fetch-Site', 'same-origin' ],
  [ 'Sec-Fetch-Mode', 'cors' ],
  [ 'Sec-Fetch-Dest', 'empty' ],
  [ 'Referer', 'http://localhost:3111/lp/44104bf9-c011-4b76-9b28-81416711e827' ],
  [ 'Accept-Encoding', 'gzip, deflate, br' ],
  [ 'Accept-Language', 'zh-CN,zh;q=0.9,en;q=0.8,zh-TW;q=0.7' ],
  [ 'Cookie', 'sessions=%7B%7D; lastSignedIn=emailMagicLink; Idea-2c8ec7e9=7040e8cb-a902-4428-aa83-ee204ad56626; _xsrf=2|25b6023f|81dc3651ce8f50fb7837c48818d2a02a|1677900074; express_sid=s%3AqccgB6sOcy5YBP_MxUDbknYuUGkm8fH3.OFKlxJBixG8AVlmVhdwcoaxnb1W0ibR4N%2BHBRWreFEM; token=t.RmzJJ4wvn8AGgzk6kszg; prefsHttp={%22chatAlwaysVisible%22:true}' ]
]

意外请求 #

[
  [ 'Host', 'localhost:3111' ],
  [ 'Connection', 'keep-alive' ],
  [ 'sec-ch-ua', '"Chromium";v="112", "Google Chrome";v="112", "Not:A-Brand";v="99"' ],
  [ 'sec-ch-ua-mobile', '?0' ],
  [ 'User-Agent', 'Mozilla/5.0 (Macintosh; Intel Mac OS X 10_15_7) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/112.0.0.0 Safari/537.36' ],
  [ 'sec-ch-ua-platform', '"macOS"' ],
  [ 'Accept', '*/*' ],
  [ 'Sec-Fetch-Site', 'none' ],
  [ 'Sec-Fetch-Mode', 'cors' ],
  [ 'Sec-Fetch-Dest', 'empty' ],
  [ 'Accept-Encoding', 'gzip, deflate, br' ],
  [ 'Accept-Language', 'zh-CN,zh;q=0.9,en;q=0.8,zh-TW;q=0.7' ],
  [ 'Cookie', 'sessions=%7B%7D; lastSignedIn=emailMagicLink; Idea-2c8ec7e9=7040e8cb-a902-4428-aa83-ee204ad56626; _xsrf=2|25b6023f|81dc3651ce8f50fb7837c48818d2a02a|1677900074; express_sid=s%3AqccgB6sOcy5YBP_MxUDbknYuUGkm8fH3.OFKlxJBixG8AVlmVhdwcoaxnb1W0ibR4N%2BHBRWreFEM; token=t.RmzJJ4wvn8AGgzk6kszg; prefsHttp={%22chatAlwaysVisible%22:true}' ]
]

内容的提问来源于stack exchange，提问作者addlistener