如何隐藏网站出站链接跳转的Referer来源信息

目标站点是通过HTTP请求头中的Referer字段识别流量来源，对应PHP里的$_SERVER['HTTP_REFERER']变量，在不能使用短链接服务的前提下，有两种可落地的方案，按需选择即可。

方案1：纯前端配置，零后端成本 #

现代浏览器原生支持Referrer策略控制，不需要修改后端逻辑就能实现跨域跳转不携带本站来源信息，兼容性覆盖绝大多数主流浏览器：

• 全局生效方案：直接在站点所有页面的<head>标签内加一行meta配置，全站所有出站跳转都会自动隐藏Referer：

  <meta name="referrer" content="no-referrer">
  

• 单链接配置方案：如果不想全局配置，只需要给对应出站链接单独加属性即可，替换原有链接写法：
  原链接代码：

  <a href="www.someonessite.com">Someone's website</a>
  

  修改后：

  <a href="www.someonessite.com" rel="nofollow noreferrer" referrerpolicy="no-referrer">Someone's website</a>
  

  配置后浏览器跳转时不会携带任何来源站点信息，目标站点无法通过Referer字段拿到你的站点地址，会判定访客为直接输入网址访问。

注意：仅加rel="noreferrer"无法覆盖老旧浏览器（如旧版IE、低版本国产内置浏览器），配合referrerpolicy属性或者全局meta配置的覆盖率更高。

方案2：PHP中转跳转，兼容性拉满 #

如果需要覆盖所有用户浏览器，甚至需要自定义跳转逻辑，用站内中转页的方案最稳妥，逻辑完全可控：

1. 首先修改所有出站链接的跳转地址，指向你站内的跳转处理文件，把目标地址做urlencode后作为参数传递：

   <a href="/goto.php?target=<?=urlencode('https://www.someonessite.com')?>" rel="nofollow">Someone's website</a>
   

2. 编写goto.php的跳转逻辑，注意必须加安全校验，避免被恶意利用跳转钓鱼地址：

   <?php
   // 安全校验：仅允许跳转到http/https协议的地址，拦截javascript伪协议、非法schema
   $target = $_GET['target'] ?? '';
   $scheme = parse_url($target, PHP_URL_SCHEME);
   if (!in_array(strtolower($scheme), ['http', 'https'])) {
       http_response_code(403);
       exit('非法跳转地址');
   }
   // 页面渲染后自动跳转，不携带Referer
   ?>
   <!DOCTYPE html>
   <html>
   <head>
       <meta name="referrer" content="no-referrer">
       <meta http-equiv="refresh" content="0;url=<?=htmlspecialchars($target)?>">
       <title>跳转中</title>
   </head>
   <body>
       正在前往目标站点，若未自动跳转请<a href="<?=htmlspecialchars($target)?>" rel="noreferrer">手动点击</a>
   </body>
   </html>
   

这个方案的优势是不依赖浏览器对新属性的支持，只要浏览器支持基础的meta跳转就能实现来源隐藏，适合面向用户群体浏览器版本比较杂的站点。

补充说明 #

受浏览器安全策略限制，普通跳转场景下无法自定义伪造任意Referer值（比如伪装成搜索引擎来源），所有公开可实现的方案都只能做到不发送Referer字段，让目标站点无法识别到来源站点。如果必须伪造指定Referer，需要通过服务器端代理转发请求，这种方案会消耗你自身的服务器带宽，对于爬虫采集的大量外链场景成本极高，一般不推荐使用。

另外你是爬虫采集的第三方链接，一定要做好跳转地址的安全校验，过滤恶意地址，避免被搜索引擎判定为恶意引流站点影响权重。

内容的提问来源于stack exchange，提问作者Uğur B