六、HTTP首部
1、HTTP请求报文：由方法、URI、HTTP版本、HTTP首部字段等部分构成。
HTTP响应报文由HTTP版本、状态码、HTTP首部字段构成。
HTTP首部字段主要用于传递额外信息（如：报文主体大小、所使用语言、认证信息等）。
2、HTTP首部字段类型
通用首部字段(General Header Fields)：请求报文和响应报文两方都会使用的首部。
请求首部字段(Request Header Fields)：从客户端向服务器端发送请求报文时使用的首部。
响应首部字段(Response Header Fields)：从服务器端向客户端返回响应报文时使用的首部。
实体首部字段(Entity Header Fields)：针对请求报文和响应报文的实体部分使用的首部。
HTTP/1.1的首部字段介绍在之前的已有
3、HTTP首部字段的分类：
（1）端到端首部(End-to-end Header)
分在此类别中的首部会转发给请求/响应对应的最终接受目标，且必须保存在由缓存生成的响应中，另外规定它必须被转发。
（2）逐跳首部(Hop-by-hop Header)
分在此类别中的首部只对单次转发有效，会因通过缓存或代理而不再转发。
属于逐跳首部的字段有8个，分别是：
4、HTTP/1.1通用首部字段
（1）Cache-Control
此字段用于操作缓存的行为。
指令的参数是可选的，多个指令之间通过“，”分隔。
缓存请求指令：
| 指令 | 参数 | 说明 |
| no-cache | 无 | 强制向源服务器再次认证 |
| no-store | 无 | 不缓存请求或响应的任何内容 |
| max-age = [秒] | 必需 | 接受已过期的响应 |
| max-stale = [秒] | 可省略 | 接受已过期的响应 |
| min-fresh = [秒] | 必需 | 期望在指定时间内的响应仍有效 |
| no-transform | 无 | 代理不可更改媒体类型 |
| only-if-cached | 无 | 从缓存获取资源 |
| cache-extrension | - | 新指令标记(token) |
缓存响应指令
| 指令 | 参数 | 说明 |
| public | 无 | 可向任意方提供响应的缓存 |
| private | 可省略 | 仅向特定用户返回响应 |
| no-cache | 可省略 | 缓存前必须先确认其有效性 |
| no-store | 无 | 不缓存请求或响应的任何内容 |
| no-transform | 无 | 代理不可更改媒体类型 |
| must-revaildate | 无 | 可缓存但必须再向源服务器进行确认 |
| proxy-revalidate | 无 | 要求中间换缓存服务器对缓存的响应有效性再进行确认 |
| max-age = [秒] | 必需 | 响应最大Age值 |
| s-maxage = [秒] | 必需 | 公共缓存服务器响应的最大Age值 |
| cache-extension | - | 新指令标记(token) |
（2）Connection
作用：控制不再转发给代理的首部字段；管理持久连接。
| 指令 | 参数 | 说明 |
| 不在转发的首部字段名 | 无 | 控制不再转发给代理的首部字段 |
| close | 无 | 客户端与服务器端断开连接 |
| Keep-Alive | 无 | 在旧版本的HTTP协议上维持持续连接 |
（3）Date
作用：表明创建HTTP报文的日期和时间
（4）Pragma
这是一个HTTP/1.1之前版本的历史遗留字段，仅作为与HTTP/1.0的向后兼容而定义
它只有一种定义：Pragma:no-cache
（5）Trailer
作用：事先说明在报文主体后记录了哪些首部字段。
（6）Transfer-Encoding
作用：规定了传输报文主体时采用的编码方式
HTTP/1.1的传输编码方式仅对分块传输编码有效
（7）Upgrade
作用：用于检测HTTP协议及其他协议是否可使用更高的版本进行通信。
使用Upgrade时，还需要额外指定Connection:Upgrade
（8）Via
作用：追踪客户端与服务器之间的请求和响应报文的传输路径。
Via首部经常回合TRACE方法一起使用。
（9）Warning
作用：告知用户一些与缓存相关的问题的警告。
Warning首部的格式：Warning:[警告码] [警告的主机：端口号] "[警告内容]" ([日期时间])
| 警告码 | 警告内容 | 说明 |
| 110 | Response is stale（响应已过期） | 代理返回已过期的资源 |
| 111 | Revalidation failed（再验证失败） | 代理再验证资源有效性时失败（服务器无法到达等原因） |
| 112 | Disconnection operation（断开连接操作） | 代理与互联网连接被故意切断 |
| 113 | Heuristic expiration（试探性过期） | 响应的试用期超过24小时（有效缓存的设定时间大于24小时的情况下） |
| 199 | Miscellaneous warning（杂项警告） | 任意的警告内容 |
| 214 | Transformation applied（使用了转换） | 代理对内容编码或媒体类型等执行了某些处理时 |
| 299 | Miscellaneous persistent warning（持久杂项警告） | 任意的警告内容 |
5、请求首部字段
（0）、概念：请求首部字段是从客户端网服务器端放松请求报文中所使用的字段，用于补充请求的附加信息、客户端信息、 对响应内容相关的优先级等内容。
（1）Accept
作用：可通知服务器，用户能够处理的媒体类型及媒体类型的相对优先级。
当服务器提供多种内容时，将会首先返回权重值最高的媒体类型。
（2）Accept-Charset
作用：通知服务器用户代理支持的字符集及字符集的相对优先顺序。
可一次性指定多种字符集。
（3）Accept-Encoding
作用：告知服务器用户代理支持的内容编码及内容编码的优先级顺序。
（4）Accept-Language
作用：告知服务器用户代理能够代理的自然语言集，以及自然语言集的相对优先级。可一次指定多种自然语言集。
（5）Anthorization
作用：告知服务器，用户代理的认证信息（证书值）
（6）Expect
作用：告知服务器，期望出现的某种特定行为。
若服务器无法理解客户端的期望作出回应而发生错误时，会返回状态码417Expectation Failed
（7）From
作用：告知服务器使用用户代理的用户的电子邮件地址。
（8）Host
作用：告知服务器，请求的资源所处的互联网主机名和端口号。
（9）If-Match（条件请求）
作用：服务器接收到附带条件的请求后，只有判断指定条件为真时，才会执行请求。
若不一致则返回412Precondition Failed的响应。
（10）If-Modified-Since
作用：告知服务器若If-Modified-Since字段值早于资源的更新时间，则希望能处理该请求。
若If-Modified-Since字段值之后的时间里资源都没有更新，则返回304Not Modified响应。
（11）If-None-Match
和首部字段If-Match作用相反。
（12）If-Range
作用：告知服务器若指定的If-Range字段值和请求资源的ETag值或时间相一致时，则作为范围请求处理。否则返回全体资源。
（13）If-Unmodified-Since
作用与If-Modified-Since相反。
（14）Max-Forwards
作用：以十进制整数形式指定可经过的服务器最大数目。
服务器在往下一个服务器转发请求之前，Max-Forwards的只减1后重新赋值。当Max-Forwards值为0时，则不再进行转发，而是直接返回响应。
（15）Proxy-Authorization
作用：告知服务器认证所需要的信息。
（16）Range
作用：对于只需获取部分资源的范围请求，此字段即可告知服务器资源的指定范围。
（17）Referer
作用：告知服务器请求的原始资源的URI。
（18）TE
作用：告知服务器客户端能够处理响应的传输编码方式及相对优先级。
（19）User-Agent
作用：将创建请求的浏览器和用户代理名称等信息传达给服务器。
6、响应首部字段
（0）概念：是由服务器端向客户端返回响应报文中所使用的字段，用于补充响应的附加信息、服务器信息，以及对客户端的附加要求等信息。
（1）Accept-Ranges
作用：告知客户端服务器是否能处理范围请求，以指定获取服务器某个部分的资源。
（2）Age
作用：告知客户端，源服务器在多久前创建了响应。单位为秒。
（3）ETag
作用：告知客户端实体标示。是一种可将资源以字符串形式做唯一性标识的方式。
服务器会为每份资源分配对应的ETag值。资源更新时ETag值也需要更新。
（4）Location
作用：将相应接收方引导至某个与请求URI位置不同的资源。
（5）Proxy-Authenticate
作用：把代理服务器所要求的认证信息发送给客户端。
（6）Retry-After
作用：告知客户端应该在多久之后再次发送请求。
（7）Server
作用：告知客户端当前服务器上安装的HTTP服务器应用程序的信息。
（8）Vary
作用：对缓存进行控制。
（9）WWW-Authenticate
作用：用于HTTP访问认证。告知客户端适用于访问请求URI所指定的认证方案（Basic/Digest）和带参数提示的质询（challenge）
7、实体首部字段
（0）概念：包含子在请求报文和响应报文中的实体部分所使用的首部，用于补充内容的更新时间等与实体相关的信息。
（1）Content-Encoding
作用：告知客户端服务器对实体的主体部分选用的内容编码方式。
内容编码：指在不丢失实体信息的前提下所进行的压缩。
（2）Content-Language
作用：告知客户端，实体主体使用的自然语言。
（3）Content-Length
作用：表明了实体主体部分的大小，单位是字节。
对实体主体进行内容编码传输时，不能再使用Content-Length。
（4）Content-Location
作用：给出与报文主体部分相对应的URI。
（5）Content-MD5
作用：检查报文主体在传输过程汇总是否保持完整，以及确认传输到达。
（6）Content-Range
作用：告知客户端作为相应返回的实体的哪个部分符合范围请求。单位为字节。
（7）Content-Type
作用：说明了实体主体内对象的媒体类型。
（8）Expires
作用：告知客户端资源失效的日期。
（9）Last-Modified
作用：指明资源最终修改的时间。
8、为Cookie服务的首部字段
（0）概念：管理服务器与客户端之间状态的Cookie
（1）Set-Cookie
Set-Cookie字段属性
| 属性 | 说明 |
| NAME=VALUE | 赋予Cookie的名称和其值（必需项） |
| expires=DATE | Cookie的有效期（若不明确指定则默认为浏览器关闭为止） |
| path=PATH | 将服务器上的文件目录作为Cookie的适用对象（若不指定则默认为文档所在的文件目录） |
| domain=域名 | 作为Cookie适用对象的域名（若不指定则默认为创建Cookie的服务器的域名） |
| Secure | 仅在HTTPS安全通信时才会发送Cookie |
| HttpOnly | 加以限制，使Cookie不能被JavaScript脚本访问 |
expires属性
作用：指定浏览器可发送Cookie的有效期。
path属性
作用：用于限制指定Cookie的发送范围的文件目录。
domain属性
作用：通过domain属性指定的域名可做到与结尾匹配一致。
secure属性
作用：用于限制web页面仅在HTTTPS安全连接时，才可以发送Cookie
HttpOnly属性
作用：使JavaScript脚本无法获得Cookie，目的为防止跨站脚本攻击(Cross-site scrioting,XSS)对Cookie的信息窃取。
9、其他首部字段
（1）X-Frame-Options
作用：用于控制网站内容在其他Web网站的Frame标签内的显示问题。
此字段有两个可指定的字段值：DENY（拒绝）、SAMEORIGIN（仅同源域名下的页面匹配时许可）
（2）X-XSS-Protection
作用：这是针对跨站脚本攻击的一种对策，用于控制浏览器XSS防护机制的开关。
字段值分为：0（将XSS过滤设置成无效状态），1（将XSS过滤设置成有效状态）
（3）DNT（Do Not Track）
作用：拒绝个人信息被收集，是表示拒绝被精准广告追踪的一种方法。
字段值分为：0（同意被追踪），1（拒绝被追踪）
（4）P3P(The Platform for Privacy Preferences，在线隐私偏好平台)
作用：可以让个人隐私变成一种仅供程序可理解的形式，以达到保护用户隐私的目的。