最直接有效的做法是：对跳转链接加 rel="noreferrer"；对资源加载用 referrerpolicy 属性；全局策略优先用 HTTP 响应头 Referrer-Policy。
想精准控制 Referer 的发送行为，其实没那么复杂。核心思路就三条：处理跳转链接，用 rel="noreferrer"；控制静态资源加载，用 referrerpolicy 属性；至于全站统一的策略，则优先通过 HTTP 响应头 Referrer-Policy 来设置，这比在 HTML 里写 标签要靠谱得多。
什么时候该用 rel="noreferrer" 而不是 referrerpolicy
这里有个关键区别，很多人容易混淆。rel="noreferrer" 只对 标签的跳转行为生效，而且效果是“一刀切”的——它会彻底移除 Referer 请求头，同时自动附带 noopener 属性来防止 window.opener 劫持。你可以这么理解：referrerpolicy 是在规定“怎么发”Referer，而 rel="noreferrer" 则是直接决定“不发”。
- 适用场景：用户点击外链跳转时，尤其是涉及敏感信息（如支付页面、管理后台）的链接，或者广告、第三方推广链接，用这个属性最省心。
- 常见误区：别把它和
rel="nofollow"或单独使用rel="noopener"搞混了。前者是给搜索引擎看的，不影响 Referer；后者只防劫持，不阻止 Referer 发送。 - 重要限制：这个属性对
表单提交是无效的，它只作用于和标签。
referrerpolicy 属性在哪些标签上能用
这个属性的支持范围很明确，主要针对那些会发起资源请求的标签，比如