使用 HTTP->HTTPS Apache 重定向时，Javascript `document.referrer` 消失

Question

我将所有网站从 HTTP 重定向到 HTTPS：

<VirtualHost *:80>
  ServerName example.com
  RewriteEngine on
  RewriteCond %{HTTPS} !on
  RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}
</VirtualHost>

<VirtualHost *:443>
  ServerName example.com
  DocumentRoot /www/example.com
  SSLEngine on  
  ...
</VirtualHost>

我注意到，当从网站导航时 anothersite.com 和

• 单击指向https://example.com 的链接，Javascript 的document.referrer 工作并提供anothersite.com

• 点击http://example.com的链接，Javascript的document.referrer是空的！

在通过 Apache 使用 HTTP->HTTPS 重定向时如何防止 document.referrer 消失？

或者我应该使用另一种方法进行自动 HTTP->HTTPS 重定向以保留referrer？

Answer 1

如this answer 中所述，在重定向后由浏览器将Referrer 发回。显然，它没有。

但是，您可以这样编写规则，如果标头中不存在引荐来源网址，则从查询中读取引荐来源网址。

  RewriteRule (.*) https://%{HTTP_HOST}%{REQUEST_URI}?referrer=%{HTTP_REFERER}

请注意，用户总是可以欺骗引荐来源网址。但是这种方法会更容易欺骗它。根据您的用例，此解决方案可能会给您带来安全问题。

更正

根据this answer，当用户时，referrer将为空：

从 https URL 切换到 http URL。

HTTP specs 中的其他信息。

Answer 2

referrer 标头是浏览器发送的，显然一个新的请求没有携带前 2 个请求的标头。

由于是否发送此标头取决于浏览器，因此您只有有限的选择 - 我什至不能保证它会起作用：

通过添加使用HSTS

Header always set Strict-Transport-Security "max-age=63072000; includeSubDomains"

（或类似的 - 选择您喜欢的值）到您的 https 虚拟主机。然后你仍然会错过第一个重定向的引荐来源网址，但一年内（63072000 秒）内回来的任何人都会立即连接到 https。

小心：如果您在 http 上提供任何内容（仅），任何曾经看到（并尊重）HSTS 标志的浏览器都将无法使用它。

此外，在许多情况下（根据发现的漏洞，它们在历史上发生了变化），其中是否发送了标头 - numerous articles 揭示了导致标头的所有条件出现或消失。

检查，然后仔细检查，如果您属于可以省略的类别之一。你不能假设标题一开始就在那里。