Chrome/Edge中img标签加载外部图片返回302跳转差异问题咨询

问题1：Chrome、Edge加载失败的原因 #

你收到的302跳转/my.policy是F5 BIG-IP应用安全管理器的典型拦截响应，触发拦截的核心原因如下：

• Chrome和Edge从80版本之后默认启用强制SameSite Cookie限制，跨站请求第三方资源时不会携带目标站点的Cookie，该站点的资源访问规则要求请求携带有效会话Cookie，无Cookie的请求直接被拦截跳转至策略页。
• Chrome和Edge所有场景下默认自动发送Sec-Fetch-*系列请求头，跨站引入图片时会携带Sec-Fetch-Site: cross-site、Sec-Fetch-Mode: no-cors标识，站点WAF识别到这是第三方嵌入的资源请求，也会触发拦截规则。
• 若你的测试页面是本地file://协议打开的HTML文件，Chrome和Edge会携带Referer: file:///xxxx的请求头，站点防盗链规则识别到非HTTP/HTTPS来源的Referer，同样会触发拦截。
• 跳转后的/my.policy是HTML类型的策略页面，浏览器无法将其解析为图片资源，最终表现为加载失败。

问题2：Firefox、Postman加载结果存在差异的原因 #

Firefox加载正常的原因 #

• Firefox目前默认未启用强制SameSite Cookie限制，跨站请求第三方资源时可以正常携带目标站点的Cookie，满足会话校验要求。
• 普通模式下Firefox不会主动发送Sec-Fetch-*系列请求头，站点的跨站嵌入拦截规则不会被触发。
• 若测试页面为file://协议打开，Firefox默认不会发送Referer头，不会触发防盗链拦截规则。

Postman加载正常的原因 #

• Postman不属于浏览器环境，没有浏览器的SameSite Cookie限制、隐私沙箱等上下文安全规则，也不会标识请求为第三方嵌入类型，站点的拦截规则无法被触发。
• Postman收到302响应时默认自动跟随重定向，且不会校验返回内容的MIME类型是否匹配请求预期，只要最终能拿到资源就判定为请求成功。
• 即便手动复制了Chrome的请求头，Postman也不会携带浏览器独有的隐式上下文标识，不会被站点WAF识别为浏览器跨站嵌入请求。

内容的提问来源于stack exchange，提问作者Qiao Li