Verbotenes Anforderungs-Header

Ein verbotenes Anforderungs-Header ist ein HTTP-Header, bestehend aus einem Namen-Wert-Paar, das nicht programmatisch in einer Anfrage gesetzt oder modifiziert werden kann. Für Header, deren Änderungen in Antworten verboten sind, siehe verbotener Antwort-Header-Name.

Die Modifikation solcher Header ist verboten, da der Benutzeragent die volle Kontrolle über diese behält. Zum Beispiel ist der Date-Header ein verbotenes Anforderungs-Header, daher kann dieses Codebeispiel das Nachrichtenfeld Date nicht setzen:

fetch("https://httpbin.org/get", {
  headers: {
    Date: new Date().toUTCString(),
  },
});

Mit Sec- beginnende Namen sind für die Erstellung neuer Header reserviert, die sicher vor APIs sind, die Entwicklern Kontrolle über Header gewähren, wie zum Beispiel fetch(). Verbotene Header sind eine der folgenden:

• Accept-Charset
• Accept-Encoding
• Access-Control-Request-Headers
• Access-Control-Request-Method
• Connection
• Content-Length
• Cookie
• Date
• DNT
• Expect
• Host
• Keep-Alive
• Origin
• Proxy- Header
• Sec- Header
• Referer
• Set-Cookie
• TE
• Trailer
• Transfer-Encoding
• Upgrade
• Via
• X-HTTP-Method, aber nur, wenn es einen verbotenen Methodennamen enthält (CONNECT, TRACE, TRACK)
• X-HTTP-Method-Override, aber nur, wenn es einen verbotenen Methodennamen enthält
• X-Method-Override, aber nur, wenn es einen verbotenen Methodennamen enthält