未設置Referrer-Policy響應頭
風險描述:Web 服務器對于 HTTP 請求的響應頭中缺少 Referrer-Policy，這將導致瀏覽器提供的安全特性失效。 當用戶在瀏覽器上點擊一個鏈接時，會產生一個 HTTP 請求，用于獲取新的頁面內容，而在該請求的報頭中，會包含一個 Referrer，用以指定該請求是從哪個頁面跳轉頁來的，常被用于分析用戶來源等信息。但是也成為了一個不安全的因素，所以就有了 Referrer-Policy，用于過濾 Referrer 報頭內容，其可選的項有： no-referrer no-referrer-when-downgrade origin origin-when-cross-origin same-origin strict-origin strict-origin-when-cross-origin unsafe-url 漏洞危害： Web 服務器對于 HTTP 請求的響應頭中缺少 Referrer-Policy，這將導致瀏覽器提供的安全特性失效，更容易遭受 Web 前端黑客攻擊的影響。
解決方案：修改服務端程序，給 HTTP 響應頭加上 Referrer-Policy
上一篇：未設置Strict-Transp
下一篇：無X-Frame-Options
