CDN и личная информация в заголовке реферера

Question

У меня есть приложение, которое использует CDN для jQuery и других библиотек. На некоторых страницах есть URL-адреса, которые содержат слагов с возможно личной информацией, например, URL:

https://mycompany.com/myapp/people/123/kilgore-trout

содержит идентификатор базы данных человека и версию его имени. Это может быть риском конфиденциальности, поскольку URL отправляется в CDN в заголовке реферера запроса.

Это законное беспокойство? Если да, могу ли я что-то сделать, кроме как не использовать CDN?

Answer 1

Ваше беспокойство верно. Браузер клиента будет пропускать строку запроса или URL при попытке доступа к изображениям или внешним файлам JavaScript.

Смягчить можно с помощью следующего метатега.

<meta name="referrer" content="never">

Когда вы помещаете этот метатег в ваш HTML, браузер не будет пропускать ваши URL.

Дополнительная информация: http://w3c.github.io/webappsec/specs/referrer-policy/