图解HTTP（六）—— HTTP请求头（首部）

1、HTTP报文首部

        HTTP协议的请求和响应报文中一定包含HTTP报文首部。首部内容分别为客户端和服务器处理请求和响应提供所须要的信息。html

一、HTTP请求报文

        在请求中，HTTP报文由方法、URI、HTTP版本、HTTP首部字段等部分构成算法

二、HTTP响应报文

        在响应中，HTTP报文由HTTP版本、状态码（数字和缘由短语）、HTTP首部字段3部分构成浏览器

三、请求和响应HTTP报文示例

2、HTTP首部字段

        HTTP首部字段是构成HTTP报文的要素之一，它能够给浏览器、服务器提供报文主体大小、所使用的语言、认证信息等。缓存

一、HTTP首部字段结构

HTTP首部字段是由字段名和字段值构成，中间用冒号（：）分隔，以下：服务器

Content-Type:text/html

单个HTTP首部字段能够有多个值，用逗号（，）分隔，以下：app

Keep-Alive:timeout=15,max=100

二、HTTP首部字段类型

① 通用首部字段

请求报文和响应报文两方都会使用的首部ide

② 请求首部字段

从客户端向服务器端发送请求报文时使用的首部网站

③ 响应首部字段

从服务器端向客户端返回响应报文时使用的首部搜索引擎

④ 实体首部字段

针对请求报文和响应报文实体部分使用的首部编码

三、HTTP首部字段一览

通用首部字段

请求首部字段

响应首部字段

实体首部字段

四、非HTTP首部字段

        在HTTP协议通讯交互中使用到的首部字段，不限于RFC2612中定义的47种首部字段，还有Cookie、Set-Cookie和Content-Disposition等在其余RFC中定义的首部字段。这些非正式的首部字段统一概括在RFC4229 HTTP Header Field Registrations中。

五、End-to-end 首部和Hop-by-hop首部

        HTTP首部字段将定义成缓存代理和非缓存代理的行为，分红2种类型。

① 端到端首部

        在此类别中的首部会转发给请求/响应对应的最终接收目标，且必须保存在由缓存生成的响应中，另外规定它必须被转发。

② 逐跳首部

        此类别中的首部只对单次转发有效，会因经过缓存或代理而再也不转发。HTTP/1.1以后的版本，若是要使用此首部，须要提供Connection首部字段。

如下是HTTP/1.1中的逐跳首部：（除了这8个首部字段外，其余的全部字段都属于端到端首部）

3、HTTP/1.1通用首部字段

一、Cache-Control

经过指定首部字段Cache-Control的指令，就能操做缓存的工做机制。

1.1 缓存请求指令

1.2 缓存响应指令

1.3 表示是否能缓存的指令

① public指令

Cache-Control:public

 当指定public指令时，则明确表示其余用户也可利用缓存

② private指令

Cache-Control:private

        当指定private指令时，响应只以特定的用户做为对象，这与public指令的行为相反。缓存服务器会对该用户提供资源缓存的服务，对于其余用户发送过来的请求，代理服务器不会返回缓存。

③ no-cache指令

Cache-Control:no-cache

        no-cache指令的目的是为了防止从缓存中返回过时的资源，缓存会向源服务器进行有效期确认后处理资源。

        客户端发送的请求中若是包含no-cache指令，则表示客户端不会接收缓存过的响应，缓存服务器必须把客户端请求转发给源服务器。从源服务器返回最新资源后，缓存服务器依然能够将最新资源进行缓存，而后再返回给客户端，除非服务器端也返回no-cache指令。

        服务端返回的响应中若是包含no-cache指令，那么缓存服务器不能对资源进行缓存，源服务器之后也不会再对缓存服务器请求中提出的资源有效性进行确认。

Cache-Control:no-cache=Location

        只能在响应指令中指定该参数，经过服务器端返回的指令来肯定客户端是否可使用缓存。

        客户端在接收到这个被指定参数值的报文首部后，就不能使用缓存。换句话说，无参数值的首部字段可使用缓存。

④ no-store指令

Cache-Control:no-store

1.4 指定缓存期限和认证的指令

① s-maxage指令

Cache-Control:s-maxage=3600 (单位：秒)

       它与max-age的指令相同，不一样点是s-maxage只适用于供多位用户使用的公共缓存服务器。对于向同一用户重复返回响应的服务器来讲，这个指令没有任何做用。

        使用这个指令后，会直接忽略对Expires首部字段及max-age指令的处理。

② max-age指令

Cache-Control:max-age=3600 (单位：秒)

        当客户端发送的请求中包含该指令时，若是断定缓存资源的缓存时间比指定的时间数值更小，那么客户端就接收缓存的资源。若是max-age的值为0，那么缓存服务器须要将请求转发给源服务器。

        当服务器返回的响应中包含该指令时，缓存服务器将不会对资源的有效性进行确认，此时max-age表明资源保存为缓存的最长时间。

        HTTP/1.1版本的缓存服务器遇到同时存在Expires首部字段的状况时，会优先处理max-age指令，而忽略掉Expires首部字段。可是HTTP/1.0版本的缓存服务器状况却相反，max-age指令会被忽略掉。

③ min-fresh指令

Cache-Control:min-fresh=60 (单位：秒)

        这个指令要求缓存服务器返回还未过指定时间的缓存资源。

④ max-stale指令

Cache-Control:max-stale=3600 (单位：秒)

        指示缓存资源，即便过时，但只要处于max-stale指定的时间内仍然会被客户端照常接收。若是该指令未指定相应参数，那么不管过了 多久，客户端都会接收响应。

⑤ only-if-cached指令

Cache-Control:only-if-cached

        该指令要求缓存服务器不从新加载响应，也不会再次确认资源有效性，若是请求缓存服务器的本地缓存无响应，则返回状态码504。

⑥ must-revalidate指令

Cache-Control:must-revalidate

        使用该指令时，代理会向源服务器再次验证即将返回的响应缓存目前是否仍然有效，若代理没法链接源服务器获取有效资源的话，缓存必须给客户端一个504的状态码。另外，使用该指令将忽略请求的max-stale指令。

⑦ proxy-revalidate指令

Cache-Control:proxy-revalidate

        当客户端的请求包含该指令时，缓存服务器在返回响应以前，必须再次验证缓存的有效性。

⑧ no-transform指令

Cache-Control:no-transform

        该指令规定不管在请求仍是在响应中，缓存都不能改变主体的媒体类型，这样能够防止缓存或代理压缩图片等相似操做。

⑨ cache-extension token

Cache-Control:private,community="UCI"

        经过cache-extension标记（token），能够扩展Cache-Control首部字段内的指令。如上添加了community这个新指令，若是缓存服务器不可以理解community这个新指令，就会直接忽略。所以,extension tokens仅对能理解它的缓存服务器有效。

二、Connection

它有两个做用：

① 控制再也不转发给代理的首部字段

Connection:Upgrade (再也不转发的首部字段名)
//操做方式是将首部字段Upgrade删除后再转发

② 管理持久链接

        HTTP/1.1版本的默认链接都是持久链接（长链接），而后客户端会在持久链接上连续发送请求，当服务器想明确断开链接时，则指定Connection首部字段为Close。

Connection:Close

        HTTP/1.1以前的版本默认的都是非持久链接（短链接），若是想在旧版本的HTTP协议上维持持续链接，则须要指定Connection的值为Keep-Alive。

Keep-Alive:timeout=10,max=500
Connection:Keep-Alive

三、Date

HTTP/1.1协议使用RFC1123中规定的日期时间的格式，以下：

Date:Tue,03 Jul 2012 04:40:59 GMT

HTTP/1.1以前的协议使用RFC850中定义的格式，以下：

Date:Tue,03-Jul-12 04:40:59 GMT

四、Pragma

        它用在客户端发送的请求中，客户端会要求全部的中间服务器不返回缓存的资源。

Pragma:no-cache

        它是HTTP/1.1以前版本的历史遗留字段，仅做为HTTP/1.0的向后兼容。若是全部的中间服务器都使用HTTP/1.1版本协议的话，那么直接使用Cache-Control:no-cache是最理想的，但全部的中间服务器使用的HTTP协议版本并不彻底一致。所以，发送的请求会同时含有下面两个字段。

Cache-Control:no-cache
Pragma:no-cache

五、Trailer

此字段会事先说明在报文主体后记录了哪些首部字段，可用于HTTP/1.1版本分块传输编码时。

        上例中，指定首部字段Trailer的值为Expires，在报文主体以后（分块长度0以后）出现了首部字段Expires。

五、Transfer-Encoding

此字段规定了传输报文主体时使用的编码方式，HTTP/1.1的传输编码方式仅对分块传输编码有效。

六、Upgrade

此字段用于检测HTTP协议及其余协议是否可使用更高的版本进行通讯，其参数值能够用来指定一个彻底不一样的通讯协议。

        在上例中，Upgrade对象仅限于客户端和邻接服务器之间，所以，在使用了Upgrade时，还须要额外指定Connection:Upgrade，对于附有Upgrade字段的请求，服务端可以使用101状态码做为响应返回。

七、Via

         此字段是为了追踪客户端与服务端之间的请求和响应报文的传输路径。报文在通过代理或网关时，会先在首部字段Via中附加该服务器的信息，而后再进行转发，使用它能够避免回环的发生，因此必须在通过代理时附加该首部字段内容，以下：

        Via首部为了追踪传输路径，常常会和TRACE方法一块儿使用。好比，代理服务器接收到由TRACE方法发送过来的请求（Max-Forwards:0）时，代理服务器就不能转发该请求了，这种状况下，代理服务器会将自身的信息附加到Via首部后，返回该请求的响应。

八、Warnning

该首部字段一般会告知用户一些与缓存相关的一些问题的警告。格式以下：

Warning:[警告码][警告的主机:端口号]"[警告内容]"

HTTP/1.1中定义了7种警告，以下：

4、请求首部字段

        请求首部字段是从客户端往服务端发送请求报文中所使用的字段，用于补充请求的附加信息、客户端信息、对响应内容的优先级等内容。

一、Accept

Accept:text/html,application/xhtml+xml,application/xml;q=0.9,*/*;q=0.8

       该首部字段可通知服务器，用户代理能处理的媒体类型以及媒体类型的相对优先级，可以使用type/subtype这种形式，一次指定多种媒体类型。 若是想要给显示的媒体类型增长优先级，就使用q=来额外表示权重值，用" ; "进行分隔。权重值q的范围是0~1（可精确到小数点后三位），且1为最大值。不指定权重值时，默认q=1.0。当服务器提供多种内容时，将会首先返回媒体值最高的类型。

媒体类型举例以下：

二、Accept-Charset

Accept-Charset:iso-8859-5,unicode-1-1;q=0.8

        该首部字段可用来通知服务器用户代理支持的字符集及字符集的相对优先级顺序。一样，可一次性指定多个字符集，用q=来表示字符集的相对优先级。

三、Accept-Encoding

Accept-Encoding:gzip,deflate

        该首部字段可用来通知服务器用户代理支持的内容编码及内容编码的优先级顺序。一样，可一次性指定多种内容编码，用q=来表示内容编码的相对优先级。

内容编码举例以下：

四、Accept-Language

Accept-Language:zh-cn,zh;q=0.7,en-us,en;q=0.3

        该首部字段告知服务器用户代理可以处理的天然语言集以及天然语言集的相对优先级。一样，可一次指定多种天然语言集，用q=来表示天然语言集的相对优先级。

五、Authorization

Authorization:Basic dWVub3N1bjpwYXNzd29yZA==

        该首部字段用来告知服务器用户代理的认证信息。一般，想要经过服务器认证的用户代理会在接收到返回的401状态码响应以后，把首部字段Authorization加入请求中。共用缓存在接收到含有Authorization首部字段的请求时的操做处理有所差别。

六、From

From:info@qq.com

        该首部字段用来告知服务器使用代理的用户的电子邮件地址。一般，使用目的就是为了显示搜索引擎等用户代理的负责人的电子邮件联系方式。使用代理时，应尽量使用该字段，但有的代理可能会将电子邮件地址在User-Agent首部字段内。

七、Host

Host:www.adcd.com

        该首部字段会告知服务器，请求的资源所处的互联网主机名和端口号。它是HTTP/1.1规范中惟一一个必须包含在请求内的首部字段。

        因为相同的IP地址下可能会部署运行多个域名，服务器就会没法理解到底是哪一个域名对应的请求，所以就须要使用此字段来明确的指出请求的主机名。若是服务器没有设定主机名，那直接发送一个空值便可，以下：

Host:

八、If-Match

        形如If-xxx这种形式的请求首部字段，均可称为条件请求，服务器接收到附带条件的请求后，只有判断指定条件为真时，才会执行请求。

If-Match:"123456"

        该首部字段会告知服务器匹配资源所使用的实体标记（ETag）值，这时的服务器没法使用弱ETag值。服务器会比对If-Match的字段值和资源的ETag值，仅当再者一致时，才会执行请求。反之，则返回状态码412的响应。也可使用" * "来指定If-Match的字段值，这时服务器将会忽略ETag的值，只要资源存在就处理请求。

九、If-None-Match

If-None-Match:*

十、If-Modified-Since

If-Modified-Since:Thu,15 Apr 2004 00:00:00 GMT

        该首部字段用于确认代理或客户端拥有的本地资源的有效性。它会告知服务器在些字段指定的时间后资源发生了更新就处理该请求，若是请求的资源没有更新过，则返回状态码304的响应。

十一、If-Unmodified-Since

If-Modified-Since:Thu,15 Apr 2004 00:00:00 GMT

        该首部字段与If-Modified-Since的做用相反。

十二、If-Range

If-Range:"123456"
Range:bytes=5001-10000

        该首部字段属于附带条件之一，它告诉服务器若指定的If-Range值（ETag值或时间）和请求资源的ETag值或时间相同时，则做为范围请求处理。不然，返回全体资源。

        若是不使用该首部字段，就须要两次处理，以下：

1三、Max-Forwards

Max-Forwards:10

        经过Trace或Options的方法发送包含该首部字段的请求时，该字段以十进制整数形式指定可通过的服务器最大数目。服务器在往下一下服务器转发请求以前，会将该首部字段的值减1后从新赋值。当值为0时，请求再也不进行转发，而是直接返回响应。

1四、Proxy-Authorization

Proxy-Authorization: Basic dGlwOjkpNLAGfFY5

        客户端接收到从代理服务器发送过来的认证质询时，客户端会发送包含该首部字段的请求，以告知服务器认证所须要的信息。

1五、Range

Range:bytes=5001-10000

        客户端发送带有该首部字段的请求能够指定服务器资源的范围。接收到该首部字段的服务器，会在处理请求以后返回状态码为206 Partial Content的响应，若是没法处理该范围请求，则会返回状态码为200 OK的响应及所有资源。

1六、Referer

Referer: http://www.hackr.jp/index.htm

        该首部字段会告知服务器请求的原始资源的URI。

1七、TE

TE: gzip, deflate;q=0.5

        该首部字段会告知服务器客户端可以处理响应的传输编码方式以及相对优先级，它和Accept-Encoding的功能很像，可是TE只是用于传输编码。

        首部字段TE除指定传输编码以外，还能够指定伴随trailer字段的分块传输编码的方式。这时须要把trailers赋值给该字段值。以下所示：

TE: trailers

1八、User-Agent

User-Agent: Mozilla/5.0 (Windows NT 6.1; WOW64; rv:13.0) Gecko/201001

5、响应首部字段

        响应首部字段是由服务器端向客户端返回响应报文中所使用的字段，用于补充响应的附加信息、服务器信息，以及对客户端的附加要求等信息。

一、Accept-Ranges

Accept-Ranges: bytes

        该首部字段是用于告知客户端服务器是否能处理范围请求，以指定获取服务器端某个部分的资源。它能够指定的字段值有两种，可处理范围请求时指定其为bytes，反之则指定为none。

二、Age

Age:600

      该首部字段能够告知客户端，源服务器在多久前建立了响应，字段值的单位为秒。若建立该响应的服务器是缓存服务器，Age值是指缓存后的响应再次发起认证到认证完成的时间值。代理建立响应时必须加上首部字段Age。

三、ETag

ETag: "82e22293907ce725faf67773957acd12"

        首部字段 ETag 能告知客户端实体标识。它是一种可将资源以字符串形式作惟一性标识的方式。服务器会为每份资源分配对应的 ETag值。

① 强ETag

ETag: "usagi-1234"

        强 ETag 值，不论实体发生多么细微的变化都会改变其值。

② 弱ETag

ETag: W/"usagi-1234"

Proxy-Authenticate: Basic realm="Usagidesign Auth"

        弱 ETag 值只用于提示资源是否相同。只有资源发生了根本改变，产生差别时才会改变 ETag 值。这时，会在字段值最开始处附加 W/。

四、Location

Location: http://www.usagidesign.jp/sample.html

        使用首部字段 Location 能够将响应接收方引导至某个与请求 URI 位置不一样的资源。基本上，该字段会配合 3xx ：Redirection 的响应，提供重定向的URI。几乎全部的浏览器在接收到包含首部字段 Location 的响应后，都会强制性地尝试对已提示的重定向资源进行访问。

五、Proxy-Authenticate

Proxy-Authenticate: Basic realm="Usagidesign Auth"

六、Retry-After

Retry-After: 120

七、Server

Server: Apache/2.2.17 (Unix)

Vary: Accept-Language

        首部字段 Vary 可对缓存进行控制。源服务器会向代理服务器传达关于本地缓存使用方法的命令。从代理服务器接收到源服务器返回包含 Vary 指定项的响应以后，若再要进行缓存，仅对请求中含有相同 Vary 指定首部字段的请求返回缓存。即便对相同资源发起请求，但因为 Vary 指定的首部字段不相同，所以必需要从源服务器从新获取资源。

九、WWW-Authenticate

WWW-Authenticate: Basic realm="Usagidesign Auth"

6、实体首部字段

        实体首部字段是包含在请求报文和响应报文中的实体部分所使用的首部，用于补充内容的更新时间等与实体相关的信息。

一、Allow

Allow: GET, HEAD

Content-Encoding: gzip

Content-Language: zh-CN

Content-Length: 15000

五、Content-Location

Content-Location: http://www.hackr.jp/index-ja.html

Content-MD5: OGFkZDUwNGVhNGY3N2MxMDIwZmQ4NTBmY2IyTY==

Content-Range: bytes 5001-10000/10000

八、Content-Type

Content-Type: text/html; charset=UTF-8

九、Expires

Expires: Wed, 04 Jul 2012 08:26:05 GMT

Last-Modified: Wed, 23 May 2012 09:59:55 GMT

7、为Cookie服务的首部字段

        管理服务器与客户端之间状态的 Cookie，虽然没有被编入标准化HTTP/1.1 的 RFC2616 中，但在 Web 网站方面获得了普遍的应用。Cookie 的工做机制是用户识别及状态管理。Web 网站为了管理用户的状态会经过 Web 浏览器，把一些数据临时写入用户的计算机内。接着当用户访问该Web网站时，可经过通讯方式取回以前发放的Cookie。调用 Cookie 时，因为可校验 Cookie 的有效期，以及发送方的域、路径、协议等信息，因此正规发布的 Cookie 内的数据不会因来自其余Web 站点和攻击者的攻击而泄露。

一、Set-Cookie

Set-Cookie: status=enable; expires=Tue, 05 Jul 2011 07:26:31 GMT; pat

        响应首部字段。当服务器准备开始管理客户端的状态时，会事先告知各类信息。下表是Set-Cookie字段的属性。

二、Cookie

Cookie: status=enable

8、其余首部字段

        HTTP 首部字段是能够自行扩展的。因此在 Web 服务器和浏览器的应用上，会出现各类非标准的首部字段。

一、X-Frame-Options

X-Frame-Options: DENY

X-XSS-Protection: 1

DNT: 1

P3P: CP="CAO DSP LAW CURa ADMa DEVa TAIa PSAa PSDa IVAa IVDa OUR BUS I