PHP：检测JS Worker请求及解决HTTP Referer缺失问题

我来帮你拆解这个问题，从两个核心需求入手给出可行方案：

一、如何判断某请求是针对JS Worker文件的？ #

现在有几个可靠的方式可以在服务器端识别Worker请求：

• 检查Sec-Fetch-Dest请求头：现代浏览器在发起Worker请求时，会自动带上这个头，值固定为worker。这是最准确的识别方式，服务器可以直接校验这个头字段来判定是否是Worker请求。
• 结合文件扩展名与请求上下文：虽然不是100%可靠，但Worker文件通常以.js结尾，且请求的发起上下文是Worker环境。不过这个方式不如Sec-Fetch-Dest精准，因为普通前端JS文件也是.js后缀。

二、如何强制Worker请求携带Referer头，让安全校验正常运行？ #

你之前尝试的Referrer-Policy没生效，大概率是设置的位置或方式不对，试试下面这些方法：

1. 确保在发起Worker的页面上正确设置Referrer策略 #

Worker的Referer规则是继承自创建它的页面的，所以需要在加载Worker的主页面上设置策略，而不是Worker文件的响应头：

• 在HTML中添加meta标签：

  <meta name="referrer" content="same-origin">
  

• 或者在主页面的HTTP响应头中设置：

  Referrer-Policy: same-origin
  

2. 创建Worker时直接指定Referrer参数 #

在调用new Worker()时，通过WorkerOptions显式指定referrer和referrerPolicy，优先级高于页面全局策略，能强制携带Referer：

const worker = new Worker('/path/to/worker.js', {
  referrer: window.location.href, // 直接指定当前页面URL作为Referer
  referrerPolicy: 'same-origin'
});

3. 服务器端补充校验逻辑（fallback方案） #

如果某些旧浏览器不支持Sec-Fetch-Dest或Referrer仍无法获取，可以结合以下两点做安全校验：

• 检查Origin请求头：同域Worker请求的Origin应该和主页面一致，服务器可以校验Origin是否属于信任的域名。
• 结合Sec-Fetch-Dest: worker（支持的浏览器）+ Origin校验，作为原Referer校验的补充，确保只有合法的同域Worker请求能访问内部文件。

另外补充一下：你之前设置的Access-Control-Allow-Headers: x-requested-with其实和这个问题无关，这个头是用于允许客户端发送自定义请求头的CORS配置，而你的问题是Referer头缺失，不是服务器拒绝接收请求头，所以这个配置起不到作用。

内容的提问来源于stack exchange，提问作者mika