我们可以使用 javascript 在 http 请求中添加引荐来源网址吗？

【问题标题】：can we add referrer in http request using javascript?我们可以使用 javascript 在 http 请求中添加引荐来源网址吗？
【发布时间】：2012-08-16 01:40:45
【问题描述】：

我正在一个网站上测试 CSRF。该网站通过检查推荐人字段来阻止 CSRF。现在我创建了一个发送请求的 HTML 页面。如何使用 JavaScript 或任何其他方法将引用字段添加到该请求？

【问题讨论】：

【解决方案1】：

网页不应该能够在使用 JavaScript 的请求中添加 Referer 标头。不过根据Wikipedia的说法，依赖Referer这个头还是有一些问题的：

一些代理会自动去除Referer 标头。所以它并不总是存在。
网页“可以通过从 FTP 或 HTTPS URL 发出请求来抑制 Referer 标头。”
“[O]ld 版本的 Flash（9.0.18 之前）允许恶意 Flash 使用 CRLF 注入生成带有任意 HTTP 请求标头的 GET 或 POST 请求。”

【讨论】：