no-referrer meta标签失效：构建无Referrer的CSRF脚本遇阻

嘿，我来帮你搞定这个问题！你遇到的no-referrer元标签不生效的核心原因很简单——你把它放在<body>标签里了，浏览器只会解析<head>中的referrer控制元标签，放在<body>里的话浏览器直接忽略，自然不会起作用。

除此之外，还有个更稳妥的方式：直接给表单添加referrerpolicy属性，这样可以精准控制这个表单提交的referrer行为，不受全局设置的干扰。

下面是修正后的完整代码：

<html>
<head>
    <!-- 把meta标签移到head里，这是关键！ -->
    <meta name="referrer" content="no-referrer">
</head>
<body>
    <iframe style="display:none" name="csrf-frame"></iframe>
    <!-- 给表单直接添加referrerpolicy属性，双重保障 -->
    <form method='POST' 
          action='https://www.example.com/test.php' 
          target="csrf-frame" 
          id="csrf-form"
          referrerpolicy="no-referrer">
        <input type='hidden' name='x' value='y'>
        <input type='submit' value='submit'>
    </form>
    <script>
        // 补全提交脚本，确保自动触发表单提交
        document.getElementById("csrf-form").submit();
    </script>
</body>
</html>

额外说明： #

• 为什么要移到<head>？浏览器在加载页面时，会优先解析<head>中的元信息来确定页面的安全策略，<body>里的meta标签不在浏览器的解析范围内，所以完全无效。
• 为什么给表单加referrerpolicy？如果页面有其他全局的referrer设置（比如服务器返回的Referrer-Policy响应头），直接给表单单独设置可以确保这个请求的行为符合预期，避免冲突。
• 测试的时候可以用浏览器的开发者工具（Network面板）查看请求的Referer头，确认是否已经被移除。

内容的提问来源于stack exchange，提问作者birdTryingToCode