《图解HTTP》-第六章（4）

6.实体首部字段

1.Allow

首部字段 Allow 用于通知客户端能够支持 Request-URI 指定资源的所 有 HTTP 方法。

2.Content-Encoding

首部字段 Content-Encoding 会告知客户端服务器对实体的主体部分选 用的内容编码方式。

内容编码是指在不丢失实体信息的前提下所进行 的压缩。

3.Content-Language

首部字段 Content-Language 会告知客户端，实体主体使用的自然语言 (指中文或英文等语言)。

4.Content-Length

首部字段 Content-Length 表明了实体主体部分的大小(单位是字 节)。

5.Content-Location

首部字段 Content-Location 给出与报文主体部分相对应的 URI。和首部字段 Location 不同，

Content-Location 表示的是报文主体返回资源对 应的URI。

6.Content-MD5

首部字段 Content-MD5 是一串由 MD5 算法生成的值，其目的在于检 查报文主体在传输过程中是否保持完整，以及确认传输到达。

对报文主体执行 MD5 算法获得的 128 位二进制数，再通过 Base64 编 码后将结果写入 Content-MD5 字段值。

7.Content-Range

针对范围请求，返回响应时使用的首部字段 Content-Range，能告知客 户端作为响应返回的实体的哪个部分符合范围请求。

字段值以字节为 单位，表示当前发送部分及整个实体大小。

8.Content-Type

首部字段 Content-Type 说明了实体主体内对象的媒体类型。

和首部字 段 Accept 一样，字段值用 type/subtype 形式赋值。

9.Expires

首部字段 Expires 会将资源失效的日期告知客户端。

缓存服务器在接 收到含有首部字段 Expires 的响应后，会以缓存来应答请求，在 Expires 字段值指定的时间之前，响应的副本会一直被保存。

当超过 指定的时间后，缓存服务器在请求发送过来时，会转向源服务器请求 资源。

10.Last-Modified

首部字段 Last-Modified 指明资源最终修改的时间。一般来说，这个 值就是 Request-URI 指定资源被修改的时间。

为 Cookie 服务的首部字段

1.Set-Cookie

当服务器准备开始管理客户端的状态时，会事先告知各种信息。

Set-Cookie 字段的属性：

expires属性

Cookie 的 expires 属性指定浏览器可发送 Cookie 的有效期。

path属性

Cookie 的 path 属性可用于限制指定 Cookie 的发送范围的文件目录。

domain 属性

通过 Cookie 的 domain 属性指定的域名可做到与结尾匹配一致。

secure属性

Cookie 的 secure 属性用于限制 Web 页面仅在 HTTPS 安全连接时，才 可以发送 Cookie。

HttpOnly 属性

Cookie 的 HttpOnly 属性是 Cookie 的扩展功能，它使 JavaScript 脚本 无法获得 Cookie。

其主要目的为防止跨站脚本攻击(Cross-site scripting，XSS)对 Cookie 的信息窃取。

其他首部字段

1.X-Frame-Options

首部字段 X-Frame-Options属于HTTP响应首部，

用于控制网站内容在其他Web网站的 Frame 标签内的显示问题。

其主要目的是为了防 止点击劫持(clickjacking)攻击。

首部字段 X-Frame-Options 有以下两个可指定的字段值:

DENY :拒绝

SAMEORIGIN :仅同源域名下的页面(Top-level-browsing- context)匹配时许可。

(比如，当指定 http://hackr.jp/sample.html 页面为 SAMEORIGIN 时，

那么 hackr.jp 上所有页面的 frame 都被 允许可加载该页面，而 example.com 等其他域名的页面就不行了)

2.X-XSS-Protection

首部字段 X-XSS-Protection 属于 HTTP 响应首部，它是针对跨站脚本 攻击(XSS)的一种对策，

用于控制浏览器 XSS 防护机制的开关。

• 0 :将 XSS 过滤设置成无效状态
• 1 :将 XSS 过滤设置成有效状态

3.DNT

首部字段 DNT 属于 HTTP 请求首部，其中 DNT 是 Do Not Track 的简 称，

意为拒绝个人信息被收集，是表示拒绝被精准广告追踪的一种方 法。

• 0 :同意被追踪
• 1 :拒绝被追踪

4.P3P

首部字段 P3P 属于 HTTP 相应首部，通过利用 P3P(The Platform for Privacy Preferences，

在线隐私偏好平台)技术，可以让 Web 网站上 的个人隐私变成一种仅供程序可理解的形式，

以达到保护用户隐私的 目的。

链接：有道云笔记