Go http.Request Referer 怎样获取请求来源

在 Go 的 HTTP 服务端里，读取请求来源最直接的写法是 r.Referer()。如果请求没有携带 Referer 请求头，这个方法返回空字符串；它读取的是请求中声明的 referring URL，不是登录用户身份，也不是“请求一定来自某个页面”的安全证明。

官方地址：https://pkg.go.dev/net/http#Request

需要记录来源时优先调用 r.Referer()，对空值做普通的缺失处理；需要做认证、授权或跨站防护时，必须使用相应的安全机制，不能只判断 Referer。

一、Request.Referer 读取的是什么

HTTP 头字段的标准拼写是 Referer，虽然英文里通常会写成 referrer。Go 的 http.Request 提供了同名方法：

package main

import (
    "fmt"
    "net/http"
)

func logSource(w http.ResponseWriter, r *http.Request) {
    // Referer 没有发送时返回空字符串，不会因为缺失而产生错误。
    source := r.Referer()
    if source == "" {
        // 缺失来源只作为一种普通请求状态记录。
        fmt.Fprintln(w, "来源未提供")
        return
    }

    // 这里只展示来源文本，不把它转换成认证结论。
    fmt.Fprintf(w, "来源：%s\\n", source)
}

这个方法等价于从请求头读取 Referer 的第一个值。官方文档也说明，可以直接使用 r.Header.Get("Referer")；方法名固定采用这个历史拼写，不能写成不存在的 r.Referrer()。

二、在 handler 中正确处理缺失来源

Referer 不是必然存在的字段。用户直接输入地址、客户端主动省略字段、代理修改请求，都会让读取结果为空。因此，业务代码应把它当成可选字符串，而不是把空值当成异常。

func sourceLabel(r *http.Request) string {
    // 统一收敛缺失和空值，避免日志中出现难以检索的空字段。
    source := r.Referer()
    if source == "" {
        return "direct-or-unknown"
    }

    // 只返回请求头提供的文本；不要在这里完成权限判断。
    return source
}

如果只想判断字段是否存在，可以读取 r.Header.Get("Referer") 后检查空字符串；如果要保留同名头字段的全部值，则使用 r.Header.Values("Referer")，不要把单值方法和多值需求混用。

三、用 httptest 覆盖带值和无值两种情况

读取逻辑很短，但测试应覆盖“头存在”和“头缺失”两个分支。下面的测试只验证 handler 的输入输出，不假设浏览器一定会发送来源。

package referer_test

import (
    "net/http/httptest"
    "testing"
)

func TestSourceLabel(t *testing.T) {
    tests := []struct {
        name    string
        referer string
        want    string
    }{
        {name: "有来源", referer: "https://example.test/list", want: "https://example.test/list"},
        {name: "没有来源", referer: "", want: "direct-or-unknown"},
    }

    for _, tt := range tests {
        t.Run(tt.name, func(t *testing.T) {
            req := httptest.NewRequest("GET", "http://service.test/detail", nil)
            // 只有测试数据非空时才添加请求头，模拟真实缺失场景。
            if tt.referer != "" {
                req.Header.Set("Referer", tt.referer)
            }
            if got := sourceLabel(req); got != tt.want {
                t.Fatalf("sourceLabel() = %q, want %q", got, tt.want)
            }
        })
    }
}

测试里的 httptest.NewRequest 不会替你推断页面来源；是否有值完全由请求头决定。这种写法可以把“来源读取”与后续的日志、推荐位或统计逻辑分开。

四、为什么 Referer 不能单独证明来源可信

Referer 是客户端请求的一部分，可能因为浏览器隐私策略、页面跳转方式、反向代理规则或客户端实现而缺失，也可能被调用方主动设置。即使拿到了一个看似正常的 URL，也只能说明请求带来了这段文本。

如果业务需要判断跨站请求，通常应结合明确的安全设计，例如检查合适的 Origin、使用 CSRF token、校验会话和权限。Referer 可以作为日志线索或弱提示，但不能代替身份认证、授权检查或签名校验。

五、生产代码里的处理清单

核心判断只有两点：读取时用 r.Referer() 并接受空值；安全决策时把 Referer 降级为辅助信息。这样既能满足来源统计和排障需要，也不会把一个可缺失、可被客户端影响的请求头误当成可信凭据。

相关问题

Referer 和 Referrer 是不是两个不同的请求头？

HTTP 历史字段名是 Referer，Go 的方法也沿用这个拼写。业务代码应读取 Referer，不要自行改成 Referrer。

没有 Referer 是否说明请求异常？

不一定。直接访问、隐私策略、代理和客户端实现都可能造成缺失。是否异常应由具体业务场景决定。

能不能用 Referer 判断用户是否登录？

不能。登录状态应由会话、令牌或其他明确的认证机制判断，Referer 只能作为辅助上下文。