Насколько надежным является HTTP_REFERER?

Question

Мне нужно проверить и записать реферер посетителей в мое веб-приложение. Насколько надежным является использование HTTP_REFERER? И есть ли другие альтернативы?

Answer 1

Использование HTTP_REFERER не достоверно, это зависит от заголовка HTTP Referer, посланного браузером или клиентским приложением на сервер и поэтому не может быть доверено.

Что касается Referer заголовка, раздела 15.1.2 of RFC2616 состояний:

Таким образом, приложения должны предоставлять больше контроля над этой информацией как можно ближе к поставщику этой информации.

и

Мы предлагаем, хотя не требуется, , что удобный интерфейс переключения быть предназначен для пользователя, чтобы включить или отключить отправку С и информации Referer.

Многие онлайн-инструменты защиты отменяют это значение, и многие браузеры, такие как FireFox, в течение длительного времени разрешают пользователям предотвращать отправку этого заголовка. Таким образом, в двух словах, я бы не стал полагаться на это с какой-либо серьезной целью. Например, защита форм, чтобы спам-серверы не могли публиковать значения, потому что Referer можно подделать.

Для дальнейшего чтения Престола:

Using referer field for authentication or authorization (WayBackMachine)