Verbotener Anfrage-Header

Ein verbotener Anfrage-Header ist ein HTTP-Header Name-Wert-Paar, das in einer Anfrage nicht programmgesteuert gesetzt oder geändert werden kann. Für Header, deren Änderung in Antworten verboten ist, siehe verbotener Antwort-Header-Name.

Die Änderung solcher Header ist verboten, da der Benutzeragent die vollständige Kontrolle über sie behält. Zum Beispiel ist der Date-Header ein verbotener Anfrage-Header, daher kann dieser Code das Nachrichtenfeld Date nicht setzen:

fetch("https://httpbin.org/get", {
  headers: {
    Date: new Date().toUTCString(),
  },
});

Namen, die mit Sec- beginnen, sind reserviert für die Erstellung neuer Header, die von APIs sicher sind, die den Entwicklern die Kontrolle über Header ermöglichen, wie etwa fetch(). Verbotene Header sind eine der folgenden:

• Accept-Charset
• Accept-Encoding
• Access-Control-Request-Headers
• Access-Control-Request-Method
• Connection
• Content-Length
• Cookie
• Date
• DNT
• Expect
• Host
• Keep-Alive
• Origin
• Permissions-Policy
• Proxy- Header
• Sec- Header
• Referer
• TE
• Trailer
• Transfer-Encoding
• Upgrade
• Via
• X-HTTP-Method, aber nur, wenn es einen verbotenen Methodennamen enthält (CONNECT, TRACE, TRACK)
• X-HTTP-Method-Override, aber nur, wenn es einen verbotenen Methodennamen enthält
• X-Method-Override, aber nur, wenn es einen verbotenen Methodennamen enthält