301重定向时的UserAgent归属及Referer信息传递问题

首先先明确php.net对HTTP_REFERER的官方定义：

'HTTP_REFERER'是引导用户代理到达当前页面的页面地址（若存在），由UserAgent设置。并非所有UserAgent都会设置该字段，部分还支持修改HTTP_REFERER，因此该字段不可完全信任。

接下来针对你的核心疑问逐一拆解说明：

1. 服务器层面执行重定向时，谁被视为UserAgent？ #

当你在服务器端配置301重定向（比如用Apache的mod_rewrite、Nginx的return指令，或是PHP里通过header("Location: ...")触发跳转），真正的UserAgent是发起初始请求的客户端——也就是用户的浏览器、爬虫程序、curl工具这类HTTP请求发起者。

服务器在这里只是扮演“指令下发者”的角色：它向客户端返回3xx状态码和Location响应头，告诉客户端“请跳转至新的URL”，但服务器本身并不会作为UserAgent去主动发起新的HTTP请求。只有在反向代理、服务器内部转发这类特殊场景下，服务器才会以客户端身份去请求目标资源，但这和你提到的301客户端跳转机制完全不同。

2. 如何确保301重定向时携带Referer信息？为什么目标页面拿不到？ #

目标页面无法获取Referer，本质是客户端（浏览器）的Referrer发送规则被触发，导致它没在跳转后的请求里带上Referer头。要解决这个问题，核心是引导客户端按照规则发送Referer，具体可以从这几个方向入手：

关键解决方案： #

• 配置Referrer-Policy响应头：
  这是最可控的方法，你可以在原页面（mywebsite1.com/page）的服务器配置或代码中添加这个头，明确告诉浏览器跨域跳转时应该如何处理Referer。常用的策略包括：

  • strict-origin-when-cross-origin：同源请求发送完整Referer，跨域请求只发送源信息（协议+域名+端口），兼顾安全和可用性；
  • origin：所有请求仅发送源信息；
  • unsafe-url：所有请求发送完整的Referer（含路径和参数），但存在敏感信息泄露风险，不建议在涉及用户隐私的页面使用。

  举几个配置示例：

  • Apache（.htaccess文件）：

    Header set Referrer-Policy "strict-origin-when-cross-origin"
    

  • Nginx：

    add_header Referrer-Policy strict-origin-when-cross-origin;
    

  • PHP代码：

    header("Referrer-Policy: strict-origin-when-cross-origin");
    

• 排查客户端层面限制：
  部分用户可能在浏览器中手动禁用了发送Referer，或是安装了隐私插件修改这一行为——这属于客户端自主设置，开发者无法强制控制，但通过配置Referrer-Policy可以引导绝大多数合规客户端正常发送Referer。

• 注意HTTP到HTTPS的跳转限制：
  旧版浏览器在从HTTP（非安全）页面跳转到HTTPS（安全）页面时，默认不会发送完整Referer，甚至完全不发送。如果必须做这类跳转，建议使用strict-origin-when-cross-origin策略，至少能让浏览器发送源信息。

关于Referer信息的设置主体 #

划重点：Referer信息的设置主体是发起请求的客户端（浏览器/HTTP客户端），服务器无法在重定向时直接设置这个头。服务器能做的，只是通过返回Referrer-Policy响应头，引导客户端按照规则生成并发送Referer。另外，像curl这类工具允许手动指定Referer，这也符合php.net提到的“部分UserAgent支持修改HTTP_REFERER”的说明。

内容的提问来源于stack exchange，提问作者Abd Rmdn