IE11分块获取PDF时丢失Referer头致Web应用请求失败求助

这个问题我之前帮客户排查过，是IE11处理分块请求时的典型坑，结合你提到的Referer依赖问题，给你拆解下根源和可行的解决思路：

问题根源分析 #

• IE11在发起**分块范围请求（Range Requests）**获取大体积PDF时，存在偶发的特殊行为：第一块初始化请求会正常携带Referer头，但后续的分块请求会被浏览器内部优化，直接省略Referer这类非强制请求头。
• 你的应用逻辑依赖Referer头做校验，本身就存在健壮性问题（正如你所说）——Referer头天生不可靠，除了IE11，其他浏览器在隐私模式、跨域场景下也可能省略它，用户甚至可以手动修改，这个IE11的行为只是暴露了这个设计缺陷。

解决方案推荐 #

1. 彻底替换Referer头的依赖逻辑（最推荐） #

既然Referer头天生不可靠，建议用更稳定的校验方式替代：

• 用加密URL参数传递校验信息：在PDF下载链接中拼接一个时效内的加密token，比如 https://your-app.com/download/pdf?fileId=123&authToken=xxxxxx，后端通过校验这个token的有效性来替代Referer的逻辑。
• 用Cookie存储校验信息（同域场景下）：Cookie在分块请求中通常会被正常携带，可靠性远高于Referer，后端可以从Cookie中获取会话或校验信息。

2. 针对IE11做前端兼容处理 #

如果暂时无法修改后端核心逻辑，可以在前端针对IE11做特殊处理，避免触发分块请求：

• 通过AJAX一次性下载完整PDF，再通过Blob URL触发下载，这样只会发起一次请求，不会出现分块丢失Referer的情况。示例代码：

// 检测是否为IE11环境
if (window.navigator.userAgent.indexOf('Trident/7.0') > -1) {
  fetch('/your-pdf-download-url', {
    headers: { 'Referer': window.location.href }, // 手动指定Referer
    credentials: 'include' // 确保携带会话Cookie
  })
  .then(response => response.blob())
  .then(blob => {
    // 创建临时下载链接
    const downloadUrl = window.URL.createObjectURL(blob);
    const link = document.createElement('a');
    link.href = downloadUrl;
    link.download = 'document.pdf';
    document.body.appendChild(link);
    link.click();
    // 清理资源
    window.URL.revokeObjectURL(downloadUrl);
    document.body.removeChild(link);
  })
  .catch(err => console.error('PDF下载失败:', err));
}

3. 后端针对IE11分块请求放宽校验 #

如果前端改动成本高，可以在后端做兼容：

• 检测请求是否来自IE11（通过User-Agent头），同时判断是否为分块请求（检查Range请求头是否存在）；
• 对于这类请求，暂时放宽Referer头的校验要求，或者从会话Cookie、其他可靠标识来完成原本的逻辑校验。

总结 #

最根本的解决方式还是去掉对Referer头的依赖，因为它本身就不是可靠的校验依据，IE11的问题只是暴露了这个设计的脆弱性。如果优先快速修复，可以先采用前端IE11兼容或者后端临时放宽校验的方式，再逐步迁移到更可靠的校验方案。

内容的提问来源于stack exchange，提问作者John