PHP 7.0中HTTP_REFERER仅含域名，如何获取完整来源URL？

首先得明确一个关键：$_SERVER['HTTP_REFERER']的内容完全由发起请求的浏览器决定，和PHP、Apache的配置没有直接关系！这是很多人容易误解的点。

为什么只返回域名？ #

出现这种情况通常有两个原因：

• 嵌入你的iframe的母页面设置了Referrer-Policy，比如设为origin或strict-origin，这会让浏览器只发送域名部分，不会携带路径和参数。
• 用户浏览器的隐私设置（比如隐私模式、防跟踪插件）自动截断了referrer，只保留 origin 信息。

可行的解决方案 #

1. 调整嵌入方的Referrer Policy（如果能控制嵌入方） #

如果嵌入你的iframe的网站是你能管控的，你可以修改它的Referrer Policy，让浏览器发送完整的referrer：

• 在母页面的HTML头部添加meta标签：

  <meta name="referrer" content="strict-origin-when-cross-origin">
  

  这个策略是比较安全的默认：同域请求发送完整URL，跨域请求只发送域名；如果需要不管跨域都发完整URL，可以用unsafe-url（但要注意隐私风险，会暴露用户的完整访问路径）。
• 或者在Apache配置里通过响应头设置（适用于整个站点）：

  Header set Referrer-Policy "strict-origin-when-cross-origin"
  

2. 无法控制嵌入方时的替代方案 #

如果嵌入方不是你能管理的，那没办法强制获取完整referrer，这时候可以用主动传参的方式：

方案A：在iframe的src里传递母页面URL

让嵌入方在嵌入iframe时，把母页面的URL作为参数拼到src里：

<iframe src="https://your-site.com/your-page.php?parent_url=https%3A%2F%2Fsomedomain.com%2Fpath%2Fparameter"></iframe>

然后你的PHP代码可以这样获取：

$parentUrl = '';
if(isset($_GET['parent_url'])){
  // 记得解码并做合法性校验，比如检查域名是否在允许列表里
  $decodedUrl = urldecode($_GET['parent_url']);
  // 简单的域名校验示例
  $allowedDomains = ['somedomain.com', 'anotherdomain.com'];
  $parsedUrl = parse_url($decodedUrl);
  if(in_array($parsedUrl['host'], $allowedDomains)){
    $parentUrl = $decodedUrl;
  }
}

方案B：用JavaScript通过postMessage传递

在母页面的JavaScript里获取当前URL，然后通过postMessage传给iframe内的页面，再把数据提交到你的后端：

• 母页面的JS：

  const targetIframe = document.querySelector('iframe[src^="https://your-site.com"]');
  // 等iframe加载完成后发送消息
  targetIframe.addEventListener('load', () => {
    targetIframe.contentWindow.postMessage(
      { parentFullUrl: window.location.href },
      'https://your-site.com' // 限制接收方的域名，防止安全风险
    );
  });
  

• iframe内的JS接收消息并传给后端：

  window.addEventListener('message', (event) => {
    // 验证消息来源，确保是可信域名
    if (['https://somedomain.com', 'https://anotherdomain.com'].includes(event.origin)) {
      // 通过AJAX把URL传给后端PHP
      fetch('/save-parent-url.php', {
        method: 'POST',
        headers: { 'Content-Type': 'application/json' },
        body: JSON.stringify({ parentUrl: event.data.parentFullUrl })
      });
    }
  });
  

• 对应的save-parent-url.php处理逻辑：

  if($_SERVER['REQUEST_METHOD'] === 'POST'){
    $data = json_decode(file_get_contents('php://input'), true);
    $parentUrl = $data['parentUrl'] ?? '';
    // 同样要做域名合法性校验
    // 后续处理逻辑...
  }
  

总结 #

$_SERVER['HTTP_REFERER']的内容是浏览器主动发送的，服务器端无法强制修改它的内容。优先尝试调整嵌入方的Referrer Policy，如果做不到，就用主动传参的方式来获取母页面的完整URL，同时一定要注意对传入的URL做合法性校验，避免安全风险。

内容的提问来源于stack exchange，提问作者ninja