Firefox中iframe设置referrerpolicy="unsafe-url"仍被截断的问题

为什么Firefox只返回域名部分？ #

这不是Firefox的Bug，是它默认开启的**增强型跟踪保护（ETP）**在起作用。当你的iframe嵌入到第三方站点时，Firefox会对跨域iframe的referrer做强制截断——哪怕你设了referrerpolicy="unsafe-url"，它也只会返回域名。这是ETP的默认隐私防护逻辑，用来降低用户跨域追踪的风险。

只有在以下几种情况，Firefox才会尊重你设置的unsafe-url：

• 你的站点没被Firefox的Disconnect跟踪保护列表标记为跟踪器
• 嵌入iframe的第三方页面没有启用更严格的referrer策略
• 当前跨域场景没触发ETP的防护规则

怎么解决这个问题？ #

方案1：尝试绕过ETP的截断限制 #

1. 先查下你的站点是不是被Firefox的跟踪保护列表标成了跟踪器。如果是，可以走Mozilla的申请流程移除，但这个过程慢，而且不一定能通过。
2. 让嵌你iframe的第三方站点，在他们的页面里也加referrerpolicy="unsafe-url"——比如加个meta标签<meta name="referrer" content="unsafe-url">，或者在HTTP头里设Referrer-Policy: unsafe-url。部分场景下这能覆盖ETP的强制截断。

方案2：用PostMessage传跳转URL（更靠谱） #

靠referrer的方式天生受浏览器隐私规则限制，没法完全自主控制。更稳妥的是用PostMessage主动传完整URL：

1. 第三方页面里，等iframe加载好后，给iframe里的页面发当前页面的完整URL：

const myIframe = document.getElementById('your-iframe-id');
myIframe.contentWindow.postMessage(
  { type: 'REDIRECT_URL', url: window.location.href },
  'https://你的主站域名.com' // 限制接收方，避免乱发
);

2. 你的iframe页面里，监听message事件，接收并存下这个URL：

window.addEventListener('message', (event) => {
  // 验证发送方的origin，只处理你信任的站点
  if (['https://信任的第三方1.com', 'https://信任的第三方2.com'].includes(event.origin) && event.data.type === 'REDIRECT_URL') {
    sessionStorage.setItem('redirectTarget', event.data.url);
  }
});

3. 登录完之后，从sessionStorage里取这个URL跳转就行。

这种方式你完全能自主控制哪些第三方站点是可信的（通过验证event.origin），不受浏览器隐私策略影响，兼容性也更好。

方案3：检查主站的Referrer-Policy头 #

确认你的主站没设比unsafe-url更严格的Referrer-Policy HTTP头——比如strict-origin或者origin，不然会直接覆盖iframe的referrerpolicy设置。

内容的提问来源于stack exchange，提问作者TheZhar