http: Vorherige Seite wird mitgesendet...?

[yankee]

Ich bin gerade einem phaenomaen auf der Spur, dass mir zwar nicht vollkommen neu ist, dass ich aber immer ignoriert habe, weil mir nicht ganz klar war, was da eigentlich abging.
Jetzt muss ich mich aber damit auseinander setzten:

Code:

71.193.195.41 - - [18/May/2006:07:13:20 +0200] "GET /css/pos/std.css HTTP/1.1" 200 313 "http://tr.cipher-db.net/index.php?nav=start&nav2=start&menoffen=0" "Mozilla/5.0 (Windows; U; Windows NT 5.1; en-US; rv:1.8) Gecko/20051111 Firefox/1.5"

Eine Beispielzeile aus meiner apache-logdatei. Worum es mir vorallem geht ist der hintere Teil. Der FF verraet meinem Apache nicht nur, welche Datei er gerne haette, sondern auch von welcher Datei aus er die Datei anfordert. Oder so...
Das ganze wird zum Sicherheitsrisiko, sobald Beispielsweise eine Sessionid von der anfordernden Seite in der URL steht und ich auf die Idee komme eine css-Datei von einem externen Server zu includen.

Kann mir irgendjemand etwas genauer sagen, warum mein Browser das dem Apache mitteilt und unter welchen Bedinungen er das tut und ob man das irgendwie verhindern kann?

[SirThornberry]

das macht nicht nur der Firefox sondern so ziemlich jeder Browser. Der grund ist das es genügend Webseiten gibt die auf so etwas auchten. Wenn du zum Beispiel ein Bild auf einer anderen Webseite einbindest wird dies nicht angezeigt. Hauptsächlich wird dies verwendet wenn es um Logins geht um zu verhindern das jemand von einer anderen Seite aus automatisch sich einloggt.

[yankee]

mhh... interessant.
Das heisst aber, dass, wenn ich meine css-Datei auf einem anderen Server hosten will, dann kann ich einfach eine css-Datei auf meinem Server hosten mit einem
import('anderecss-datei')
drin...?

EDIT: Mist. offensichtlich zaehlt eine import-Datei nicht...
Gibt es eine andere moeglichkeit, wie ich die uebertragung von der Aufrufsseite unterbinden kann...? Vielleicht mit ajax..?
Also ich koennte mit ajax die css-Datei runterladen und entweder mit document.write anfuegen...

[jfheins]

Bei jedem Request wird normalerweise der sog. Referer (mir einem r - Tippfehler beibehalten ) mitgesendet. (Was man normalerweise im Browser ausschalten kann und auch von Firewalls oder so geblockt wird.)

Webseiten können den auserten, wenn sie lustig sind.

Wenn due eine css-Datei von einem anderen Server holen willst, ohne einen refere zu senden, könntest du z.B. eine php mit include(css-datei) oder readfile(css-datei) anlegen