Verbotener Anfrage-Header

Ein verbotener Anfrage-Header ist ein HTTP-Header-Name-Wert-Paar, das in einer Anfrage nicht programmatisch gesetzt oder geändert werden kann. Für Header, die in Antworten nicht verändert werden dürfen, siehe verbotener Antwort-Header-Name.

Die Änderung solcher Header ist verboten, weil der Benutzeragent die volle Kontrolle über sie behält. Zum Beispiel ist der Date-Header ein verbotener Anfrage-Header, daher kann dieser Code das Nachrichtenfeld Date nicht setzen:

fetch("https://httpbin.org/get", {
  headers: {
    Date: new Date().toUTCString(),
  },
});

Mit Sec- beginnende Namen sind für die Erstellung neuer Header reserviert, die vor APIs, die Entwicklern die Kontrolle über Header gewähren, sicher sind, wie zum Beispiel fetch(). Verbotene Header sind einer der folgenden:

• Accept-Charset
• Accept-Encoding
• Access-Control-Request-Headers
• Access-Control-Request-Method
• Connection
• Content-Length
• Cookie
• Date
• DNT
• Expect
• Host
• Keep-Alive
• Origin
• Proxy- Header
• Sec- Header
• Referer
• Set-Cookie
• TE
• Trailer
• Transfer-Encoding
• Upgrade
• Via
• X-HTTP-Method, aber nur, wenn es einen verbotenen Methodennamen enthält (CONNECT, TRACE, TRACK)
• X-HTTP-Method-Override, aber nur, wenn es einen verbotenen Methodennamen enthält
• X-Method-Override, aber nur, wenn es einen verbotenen Methodennamen enthält