Người giới thiệu được chuyển từ HTTPS sang HTTP trong một số trường hợp như thế nào?

Về lý thuyết, các trình duyệt không chuyển thông tin tham chiếu từ HTTPS sang các trang HTTP. Và theo kinh nghiệm của tôi thì điều này luôn đúng. Nhưng tôi chỉ tìm thấy một ngoại lệ, và tôi muốn hiểu tại sao nó hoạt động để tôi cũng có thể sử dụng nó.

Tìm kiếm "người giới thiệu của tôi là gì" trên https://www.google.ca/,
vd: https://www.google.ca/search?q=what+is+my+referer

Có một vài trang web sẽ hiển thị người giới thiệu. Tất cả họ dường như "làm việc" khi họ không nên. Ví dụ: nhấp vào www.whatismyreferer.com. Tôi có:

 Your referer:
 https://www.google.ca/

Lưu ý rằng đôi khi, hiếm khi, tôi nhận được kết quả là "không có người giới thiệu". Quay lại và nhấp vào liên kết một lần nữa và nó sẽ "hoạt động" vào lần tiếp theo.

Điều này không nên xảy ra. www.whatismyreferer.com là một trang web không phải HTTPS. Tiêu đề người giới thiệu không nên được thông qua, nhưng nó là.

Chuyện gì đang xảy ra ở đây và làm cách nào tôi có thể làm điều tương tự từ trang web HTTPS của tôi đến các trang web HTTP mà tôi đang liên kết?

Có vẻ như đó là do một <meta>tiêu đề mới mà Google đang sử dụng:

 <meta name="referrer" content="origin">

Đặc điểm kỹ thuật: https://w3c.github.io/webappsec-referrer-policy/

Hiện tại nó chỉ được hỗ trợ đầy đủ bởi một vài trình duyệt , vì vậy đây không phải là một giải pháp hoàn chỉnh, nhưng chắc chắn là một sự khởi đầu!

Đây là hành vi tiêu chuẩn.

https://tools.ietf.org/html/rfc2616#section-15.1.3 nói

Khách hàng KHÔNG NÊN bao gồm trường tiêu đề Người giới thiệu trong yêu cầu HTTP (không bảo mật) nếu trang giới thiệu được chuyển với giao thức bảo mật.

Vì vậy, nếu khách hàng của bạn đang làm điều đó, nó đang vi phạm tiêu chuẩn.

sau đó, một lần nữa, google là tiêu chuẩn và họ có thể làm bất cứ điều gì họ muốn :-)

Điều này dường như là một cái gì đó mà javascript trên trang google đang làm. Tôi không thấy nó trong firefox với tính năng noscript được kích hoạt và ngừng nhìn thấy nó trong Chrome trên Windows nếu tôi tắt javascript. Tôi không biết cụ thể là gì khi tôi chưa đào sâu hơn thế.

<meta> Tên thuộc tính của Nhãn có quy tắc tham chiếu mới, Người giới thiệu kiểm soát nội dung của tiêu đề HTTP Người giới thiệu HTTP được đính kèm với bất kỳ yêu cầu nào được gửi từ tài liệu này.

Để biết thêm thông tin xin vui lòng kiểm tra tại đây: Chính sách giới thiệu RFC

Đó là bởi vì khi bạn nhấp vào liên kết, bạn được chuyển hướng từ https://www.google .... đến http://www.google ... sau đó bạn được chuyển hướng đến www.whatismyreferer.com

Và như bạn đã nói, giữa trang web http, người giới thiệu được truyền đi.

Bạn có thể kiểm tra xem với tiện ích mở rộng Firefox