URLにセッションIDや機密情報を入れると、そのページから外部リンクを踏んだとき Referer ヘッダに元URLが載って外部サーバーに漏れることがある。 また、Webサーバーのアクセスログにも残る。
いまのあなたの Referer（このページに来る前のURL）:
https://lab.y-omasa.work/reset.php?next=%2Fsession%2Freferer%2F
① まず、URLにセッションID風の値を含んだ状態にする: ?sid=... を付けてこのページを開き直す
対策: セッションIDはURLに入れずCookieで扱う。URLに機密情報を載せない。
ブラウザの既定に頼らず、Referrer-Policy ヘッダでも送出を抑制する。