新生鳩丸掲示板♯

http://securit.gtrc.aist.go.jp/SecurIT/advisory/referer-2/

> https:// ページから http:// ページへのリンクでReferer:を送出しないことは、 RFCに定められてはおらず、

高木さんともあろうお方【誰】がRFC 2616(しかも「15 Security Considerations」)をご覧になっていないのでしょうか

http://www.ietf.org/rfc/rfc2616.txt

> Clients SHOULD NOT include a Referer header field in a (non-secure)

> HTTP request if the referring page was transferred with a secure

> protocol.

まあMUST NOTでない以上Webアプリケーションがブラウザの挙動をアテにしてはいけないという結論に変わりはないと思いますが。