当前位置：首页 > news >正文

HTTP请求头详解：从基础到实战

news 2025/8/8 12:38:07

一、引言

HTTP请求头是HTTP协议的核心组成部分，通过键值对形式传递关键元数据。本文将系统解析请求头的分类、作用及最佳实践，结合权威RFC文档和实战案例，帮助开发者深入理解这一关键技术。

二、请求头分类与核心字段

1. 通用头部（请求/响应共用）

Cache-Control

Cache-Control: max-age=3600, public

控制缓存策略，max-age指定缓存有效期（秒），public表示可被所有缓存存储

Connection

Connection: keep-alive

HTTP/1.1默认启用持久连接，减少TCP握手开销

2. 请求专用头部

Host（必须字段）

Host: www.zj.gov.cn:443

指定服务端域名和端口，虚拟主机技术依赖此字段

User-Agent

User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64) AppleWebKit/537.36

浏览器指纹信息，服务端据此返回兼容内容

Accept-Encoding（压缩关键）

Accept-Encoding: gzip, deflate, br

声明客户端支持的压缩算法，服务端响应时可能返回Content-Encoding: gzip压缩数据

Cookie

Cookie: sessionid=abc123; csrftoken=xyz789

存储会话状态，需注意HttpOnly标志防止XSS攻击

3. 实体头部（描述消息体）

Content-Type

Content-Type: application/json; charset=utf-8

定义消息体数据格式，JSON API必备字段

Content-Length

Content-Length: 1024

消息体字节长度，持久连接时用于分段传输

三、Python请求库处理头部的最佳实践

1. 基本请求示例

import requestsheaders = {"User-Agent": "Mozilla/5.0","Accept-Encoding": "gzip, deflate","Connection": "keep-alive"
}response = requests.get("https://api.example.com", headers=headers)
print(response.headers.get("Content-Encoding"))  # 验证服务端响应编码

2. 处理压缩响应

import gzip
from io import BytesIOif response.headers.get("Content-Encoding") == "gzip":buf = BytesIO(response.content)with gzip.GzipFile(fileobj=buf) as f:data = f.read().decode("utf-8")

3. 会话持久化

with requests.Session() as session:session.headers.update({"User-Agent": "Custom-Agent/1.0"})response = session.get("https://api.example.com/data")

四、常见问题深度解析

1. Accept-Encoding导致的请求失败

现象：Python手动设置Accept-Encoding: gzip后响应乱码
原因：requests库默认自动解压，手动设置后需自行处理解码
解决方案：

方案1：不显式设置Accept-Encoding（推荐）
方案2：手动解压响应内容（如上文Python示例）

2. Cookie跨域问题

Set-Cookie: sessionId=abc123; Domain=.example.com; Secure; HttpOnly

Domain控制Cookie作用域，Secure限制HTTPS传输，HttpOnly禁止JS访问

3. CORS跨域请求

Access-Control-Allow-Origin: https://www.trusted.com
Access-Control-Allow-Methods: GET, POST
Access-Control-Allow-Headers: Content-Type, Authorization

服务端需正确设置CORS头，否则浏览器会拦截响应

五、安全增强头部配置

Strict-Transport-Security: max-age=31536000; includeSubDomains
Content-Security-Policy: default-src 'self'
X-Content-Type-Options: nosniff
X-Frame-Options: DENY