Header yêu cầu bị cấm

Tiêu đề yêu cầu bị cấm là cặp tên-giá trị tiêu đề HTTP không thể được đặt hoặc sửa đổi bằng lập trình trong một yêu cầu. Để biết các tiêu đề bị cấm sửa đổi trong phản hồi, xem forbidden response header name.

Việc sửa đổi các tiêu đề như vậy bị cấm vì tác nhân người dùng nắm toàn quyền kiểm soát chúng. Ví dụ, tiêu đề Date là một tiêu đề yêu cầu bị cấm, vì vậy đoạn code này không thể đặt trường Date của thông báo:

fetch("https://httpbin.org/get", {
  headers: {
    Date: new Date().toUTCString(),
  },
});

Các tên bắt đầu bằng Sec- được dành riêng để tạo các tiêu đề mới an toàn từ APIs cấp cho nhà phát triển quyền kiểm soát tiêu đề, chẳng hạn như fetch(). Các tiêu đề bị cấm là một trong những tiêu đề sau:

• Accept-Charset
• Accept-Encoding
• Access-Control-Request-Headers
• Access-Control-Request-Method
• Connection
• Content-Length
• Cookie
• Date
• DNT
• Expect
• Host
• Keep-Alive
• Origin
• Các tiêu đề Proxy-
• Các tiêu đề Sec-
• Referer
• Set-Cookie
• TE
• Trailer
• Transfer-Encoding
• Upgrade
• Via
• X-HTTP-Method, nhưng chỉ khi nó chứa tên phương thức bị cấm (CONNECT, TRACE, TRACK)
• X-HTTP-Method-Override, nhưng chỉ khi nó chứa tên phương thức bị cấm
• X-Method-Override, nhưng chỉ khi nó chứa tên phương thức bị cấm