HTTP 请求头速查表
HTTP 头字段分类速查，含 CORS 与安全头配置建议
依据 RFC 7230/7231 及 CORS 规范（RFC 6454、Fetch 规范）整理，涵盖通用头、请求头、响应头、实体头、CORS/安全头及业界常用自定义头；X- 前缀为非标准自定义头，使用前建议确认上下游约定。
快捷跳转:
通用头 (General Headers) 8
| 字段名 | 方向 | 说明 | 示例值 |
|---|---|---|---|
| Cache-Control | 双向 | 缓存控制策略 | no-cache, max-age=3600 |
| Connection | 双向 | 连接管理选项 | keep-alive, close |
| Date | 双向 | 消息发送的日期和时间 | Mon, 25 Aug 2025 08:00:00 GMT |
| Transfer-Encoding | 双向 | 传输编码方式 | chunked |
| Upgrade | 双向 | 建议升级到更高版本的协议 | websocket |
| Via | 双向 | 代理服务器信息 | 1.1 proxy.example.com |
| Pragma | 双向 | HTTP/1.0 向后兼容的缓存控制，值通常为 no-cache | no-cache |
| Trailer | 双向 | 预告分块传输（chunked）尾部将出现的头字段 | Expires |
请求头 (Request Headers) 24
| 字段名 | 方向 | 说明 | 示例值 |
|---|---|---|---|
| Accept | 请求 | 客户端可接受的媒体类型 | text/html, application/json |
| Accept-Charset | 请求 | 客户端可接受的字符集 | utf-8, iso-8859-1 |
| Accept-Encoding | 请求 | 客户端可接受的内容编码 | gzip, deflate, br |
| Accept-Language | 请求 | 客户端偏好的自然语言 | zh-CN,zh;q=0.9,en;q=0.8 |
| Authorization | 请求 | 认证信息（Bearer/Basic/Digest） | Bearer eyJhbGciOiJIUzI1NiIs... |
| Cookie | 请求 | 之前服务器通过 Set-Cookie 发送的 Cookie | sessionId=abc123; user=john |
| From | 请求 | 请求发送者的邮箱地址 | webmaster@example.com |
| Host | 请求 | 目标服务器的主机名和端口（HTTP/1.1 必需） | api.example.com:443 |
| If-Match | 请求 | 仅在资源的 ETag 匹配时执行请求 | "33a64df5" |
| If-Modified-Since | 请求 | 仅在指定时间后修改过才返回资源 | Mon, 25 Aug 2025 08:00:00 GMT |
| If-None-Match | 请求 | 仅在资源的 ETag 不匹配时返回资源（缓存校验） | "33a64df5", "W/0815" |
| If-Range | 请求 | 如果资源未改变则发送缺失的部分，否则发送整个资源 | "33a64df5" |
| If-Unmodified-Since | 请求 | 仅在指定时间后未修改过才执行请求 | Mon, 25 Aug 2025 08:00:00 GMT |
| Max-Forwards | 请求 | TRACE/OPTIONS 请求可经过的最大代理跳数 | 10 |
| Proxy-Authorization | 请求 | 代理服务器认证信息 | Basic dXNlcjpwYXNzd29yZA== |
| Range | 请求 | 请求资源的部分范围（断点续传） | bytes=0-499, 1000-1499 |
| Referer | 请求 | 当前请求的来源页面地址（注意拼写错误） | https://example.com/previous-page |
| TE | 请求 | 客户端愿意接受的传输编码及尾部字段意愿 | trailers, deflate |
| User-Agent | 请求 | 客户端软件的身份标识 | Mozilla/5.0 (Windows NT 10.0; Win64; x64) |
| Origin | 请求 | 跨域请求的来源（协议+域名+端口） | https://example.com |
| Expect | 请求 | 告知服务器客户端需要某种响应行为 | 100-continue |
| Sec-Fetch-Dest | 请求 | Fetch Metadata：声明请求目标（document / iframe / image 等） | document |
| Sec-Fetch-Mode | 请求 | Fetch Metadata：声明请求模式（cors / no-cors / navigate） | cors |
| Sec-Fetch-Site | 请求 | Fetch Metadata：声明跨域关系（same-site / cross-site） | same-origin |
响应头 (Response Headers) 11
| 字段名 | 方向 | 说明 | 示例值 |
|---|---|---|---|
| Accept-Ranges | 响应 | 服务器支持的范围请求单位 | bytes |
| Age | 响应 | 资源在代理缓存中存在的时间（秒） | 3600 |
| ETag | 响应 | 资源的特定版本标识符（缓存校验） | "33a64df551425fcc55e4d42a148795d9f25f89d4" |
| Location | 响应 | 重定向的目标 URL（3xx 或 201 响应） | https://example.com/new-path |
| Proxy-Authenticate | 响应 | 代理服务器要求的认证方式 | Basic realm="proxy" |
| Retry-After | 响应 | 客户端应等待多久后重试（秒或日期） | 120 或 Wed, 27 Aug 2025 08:00:00 GMT |
| Server | 响应 | 服务器软件信息 | nginx/1.24.0 |
| Set-Cookie | 响应 | 服务器要求客户端设置的 Cookie | sessionId=abc123; Path=/; HttpOnly; Secure |
| Vary | 响应 | 决定缓存响应的后续请求头字段列表 | Accept-Encoding, Accept-Language |
| WWW-Authenticate | 响应 | 资源要求的认证方式（401 响应） | Bearer realm="api" |
| Referrer-Policy | 响应 | 控制浏览器发送 Referer 的策略 | strict-origin-when-cross-origin |
实体头 (Entity Headers) 9
| 字段名 | 方向 | 说明 | 示例值 |
|---|---|---|---|
| Allow | 双向 | 资源支持的 HTTP 方法列表 | GET, POST, HEAD, OPTIONS |
| Content-Encoding | 双向 | 内容编码方式（压缩算法） | gzip |
| Content-Language | 双向 | 内容的自然语言 | zh-CN |
| Content-Length | 双向 | 消息体长度（字节），Transfer-Encoding: chunked 时不应使用 | 1024 |
| Content-Location | 双向 | 返回数据的替代位置（与请求 URI 不同） | /api/v2/users |
| Content-Range | 双向 | 部分内容的范围信息（206 响应） | bytes 0-499/10240 |
| Content-Type | 双向 | 消息体的媒体类型和字符编码 | application/json; charset=utf-8 |
| Expires | 双向 | 资源过期的日期/时间 | Wed, 27 Aug 2025 08:00:00 GMT |
| Last-Modified | 双向 | 资源最后修改的日期/时间 | Mon, 25 Aug 2025 08:00:00 GMT |
CORS / 安全头 (CORS & Security) 13
| 字段名 | 方向 | 说明 | 示例值 |
|---|---|---|---|
| Access-Control-Allow-Credentials | 响应 | 是否允许携带 Cookie 等凭据 | true |
| Access-Control-Allow-Headers | 响应 | 跨域请求允许的自定义请求头 | Content-Type, Authorization, X-Request-ID |
| Access-Control-Allow-Methods | 响应 | 跨域请求允许的 HTTP 方法 | GET, POST, PUT, DELETE, OPTIONS |
| Access-Control-Allow-Origin | 响应 | 允许访问资源的源（* 或具体域名） | https://example.com |
| Access-Control-Expose-Headers | 响应 | 允许前端 JavaScript 访问的响应头 | X-Total-Count, X-Request-ID |
| Access-Control-Max-Age | 响应 | 预检请求结果可缓存的时间（秒） | 86400 |
| Access-Control-Request-Headers | 请求 | 预检请求告知服务器实际请求将使用的自定义头 | Content-Type, Authorization |
| Access-Control-Request-Method | 请求 | 预检请求告知服务器实际请求将使用的方法 | PUT |
| Content-Security-Policy | 响应 | 内容安全策略，限制资源加载来源 | default-src 'self'; script-src 'self' cdn.example.com |
| Strict-Transport-Security | 响应 | 强制浏览器使用 HTTPS 访问（HSTS） | max-age=31536000; includeSubDomains |
| X-Content-Type-Options | 响应 | 禁止浏览器 MIME 嗅探 | nosniff |
| X-Frame-Options | 响应 | 控制页面是否允许被嵌入 iframe（点击劫持防护） | DENY 或 SAMEORIGIN |
| X-XSS-Protection | 响应 | 启用浏览器的 XSS 过滤器（现代浏览器已废弃） | 1; mode=block |
常用自定义头 (Custom Headers) 12
| 字段名 | 方向 | 说明 | 示例值 |
|---|---|---|---|
| DNT | 请求 | Do Not Track（1=不希望被跟踪，0=允许跟踪） | 1 |
| X-Requested-With | 请求 | 标识 AJAX 请求（传统用法） | XMLHttpRequest |
| X-Forwarded-For | 请求 | 经过的代理链中的客户端真实 IP | 203.0.113.42, 70.41.3.18, 150.172.238.178 |
| X-Forwarded-Proto | 请求 | 原始请求的协议（HTTP/HTTPS） | https |
| X-Forwarded-Host | 请求 | 原始请求的 Host 头 | api.example.com |
| X-Real-IP | 请求 | 客户端真实 IP（Nginx 常用） | 203.0.113.42 |
| X-Request-ID | 双向 | 请求唯一标识，用于链路追踪 | req_8f72a3b1c9d4 |
| X-Correlation-ID | 双向 | 关联 ID，用于跨服务追踪同一业务请求 | corr_5a1e9f3d |
| X-RateLimit-Limit | 响应 | 限流窗口内允许的最大请求数 | 100 |
| X-RateLimit-Remaining | 响应 | 当前限流窗口内剩余的请求数 | 87 |
| X-RateLimit-Reset | 响应 | 限流窗口重置的时间戳 | 1724601600 |
| X-Powered-By | 响应 | 服务器使用的技术栈（建议移除避免信息泄露） | Express |
点击表格中任意单元格即可复制对应值
关于此工具
功能说明
本工具提供完整的 HTTP 头字段速查功能，涵盖 RFC 标准定义及业界常用的自定义头字段，按类别分组展示，便于快速定位。
使用建议
请求头必带：Host（HTTP/1.1 必需）、Content-Type（POST/PUT 时）
响应头必带：Content-Type、Content-Length 或 Transfer-Encoding（chunked）
CORS 必配：Access-Control-Allow-Origin、Access-Control-Allow-Methods、Access-Control-Allow-Headers
安全建议：配置 CSP、HSTS、X-Frame-Options、X-Content-Type-Options，移除 X-Powered-By
代理相关：Nginx/ELB 等代理后需正确传递 X-Forwarded-For、X-Forwarded-Proto、X-Real-IP
评论 0
暂无评论，来说两句吧~