Firefox中iframe设置referrerpolicy=no-referrer无效问题求助

原因分析 #

Firefox在处理iframe的referrerpolicy属性时，主要有以下几种导致配置失效的情况：

• 当iframe的src是通过JavaScript动态赋值（你的代码中初始src为空），Firefox不会正确识别并应用HTML标签上预先设置的referrerpolicy属性，而Chrome则会正常继承该配置。
• 部分旧版本Firefox对referrerpolicy属性的兼容性存在瑕疵，对no-referrer的解析逻辑与Chrome不一致。
• 若页面存在冲突的CSP（内容安全策略）配置，可能会覆盖iframe的referrerpolicy设置。

解决方法 #

1. 动态设置src时同步配置referrerPolicy #

在通过JavaScript为iframe赋值src的同时，直接设置其referrerPolicy属性，确保Firefox能正确识别：

const iframe = document.getElementById('myvideo');
iframe.src = '你的视频页面地址';
iframe.referrerPolicy = 'no-referrer';

2. 全局设置CSP头（推荐） #

在服务器端为你的页面添加Content-Security-Policy响应头，强制全局应用无引用策略，避免浏览器差异：

Content-Security-Policy: referrer no-referrer;

这种方式不受浏览器对iframe属性解析差异的影响，是最稳定的方案。

3. 配合sandbox属性增强防护 #

为iframe添加sandbox属性，限制其权限的同时进一步强化来源隐藏（注意配置必要的权限保证视频正常播放）：

<iframe class="embed-responsive video" id="myvideo" src="" referrerpolicy="no-referrer" 
scrolling="no" sandbox="allow-same-origin allow-scripts allow-media"></iframe>

sandbox会限制iframe的行为，同时减少泄露来源信息的可能。

4. 检查并升级Firefox版本 #

如果用户使用的是较旧的Firefox版本（比如v60之前），建议提示用户升级到最新稳定版，新版本对referrerpolicy的支持已与Chrome对齐。

内容的提问来源于stack exchange，提问作者miel