我们一个前后端分离的项目,在做用户鉴权时,通过请求头identification_cjk传递用户登陆的Token信息,但是极少数用户反馈登陆后一直提示未登陆,后经过调试发现,在用户网络环境下,传递到的服务器的请求中请求头中并不包含identification_cjk,那就很奇怪了,明明传递了为什么在服务器上没接收。后来我们尝试修改自定义请求头为“identification-cjk”(“_”改“-”),最终应用成功获取到了自定义的请求头。
那么,服务器为何要对字段名中使用了下划线的请求头视若无物呢?
在 RFC 2616 4.2 节中,有如下一段话:
Request (section 5) and Response (section 6) messages use the generic message format of RFC 822 [9] for transferring entities (the payload of the message).
这段话的意思,就是说HTTP/1.1的请求和响应消息使用 RFC 822 中的通用消息格式来传输实体(消息载荷)。
在 RFC 822 3.1.2节中,对于消息格式的说明,有这样一句话:
The field-name must be composed of printable ASCII characters (i.e., characters that have values between 33. and 126., decimal, except colon).
也就是说,HEADER 字段名可以可由可打印的 ASCII 字符组成(也就是十进制值在 33 和 126 之间的字符,不含冒号)。不含冒号很容易理解,因为 Field-Name和Value之间需要用冒号分割。然而,我们通过查询 ASCII 码表可知,下划线的十进制 ASCII 值为 95,也在此范围之内!
其实,在 HEADER字段名中使用下划线其实是合法的、符合 HTTP 标准的。服务器之所以要默认禁止使用是因为 CGI 历史遗留问题。下划线和中划线都为会被映射为 CGI 系统变量名中的下划线,这样容易引起混淆。