| 名称 | Sec-Fetch-Dest / Mode / Site / User |
|---|---|
| 作用 | 请求上下文元数据，防 CSRF/资源盗链 |
| 规范 | W3C Fetch Metadata Request Headers |
| 特点 | 浏览器设置、页面脚本无法伪造；老浏览器可能不发 |
典型值
典型值
Sec-Fetch-Site: same-origin | same-site | cross-site | none
Sec-Fetch-Mode: navigate | cors | no-cors | same-origin
Sec-Fetch-Dest: document | script | image | empty
Sec-Fetch-User: ?1（用户激活的导航）防御示例：对状态变更接口，若 Sec-Fetch-Site: cross-site 且非白名单，可直接拒绝，作为 CSRF Token 之外的纵深防御。