在回答问题之前,请记住一个概念,通常 referrer 的网址应该是发起请求的网址。假设我们的 facebook.com 有一个 iframe 指向 eval.com,如果iframe 将顶部的 URL 更改为 paypal.com,那么 paypal 接收到的 referrer 应该是 evil 而不是 Facebook。
<iframe width="410" height="427" name="passport_iframe" src="https://passport.csdn.net/account/login?from=https://download.csdn.net/download/weixin_39840924/11536910" frameborder="0" scrolling="no"></iframe>
iframe指向的地址是passport 所以 只要在这个iframe中刷新页面 refefer就会变成passport