在HTTP响应中使用“X -...”标头是否安全？

Question

我必须在HTTP响应中传递元信息，因此我发现我可以使用响应头，例如“X-MyData：123456”。这样安全吗？我的意思是，客户端代理有可能删除此标头吗？

谢谢！

Answer 1

客户端代理可以执行任何想要的操作，但通常不会删除任何标头。

以X-开头的标题通常保留用于非标准用法（即，未来的标准不会引入以X-开头的标题），但代理可以理解它们并选择根据需要修改它们。

Answer 2

作为参考，X-header在RFC 2045的BNF中也称为x-token，在RFC 2047的第5部分中称为user-defined ("X-")，在部分中称为实验标题News Article Format草案的4.2.2.1。

Deprecating Use of the "X-" Prefix in Application Protocols（BCP，2012年6月）：

  

不赞成大多数应用程序协议的“X-”约定   提出有关如何在没有世界的情况下进行的具体建议   标准参数和非标准参数之间的区别

Answer 3

可能是代理服务器或链中的任何中间链接修改标题，但通常不是问题。

通常情况下，指定自定义标头很好，只要它们足够独特，不会与其他人的标头发生冲突，并且您不希望其他任何人使用您的标头。