HTTP-Header-Parser

Ja. Der Parser erkennt automatisch, ob die Eingabe eine HTTP-Anfrage oder -Antwort ist, basierend auf der ersten Zeile, und analysiert entsprechend. Anfragezeilen beginnen mit einer HTTP-Methode (GET, POST usw.), während Antwortzeilen mit HTTP/Version beginnen.

Ja. Set-Cookie-Header werden in einzelne Cookies aufgeteilt, die Name, Wert und alle Flags wie HttpOnly, Secure, SameSite, Path, Domain und Max-Age anzeigen.

Standard HTTP/1.1- und HTTP/2-Headerformat mit einem Header pro Zeile im Format „Name: Wert". Sie können Header direkt aus den Browser-Entwicklertools kopieren.

Anfragen enthalten typischerweise host, user-agent, accept, accept-encoding und cookie; Antworten liefern content-type, content-length, cache-control, set-cookie und date. Beim API-Verkehr kommen eingangs authorization und content-type: application/json hinzu sowie ausgehend Rate-Limit-Header. RFC 9110 (HTTP-Semantik, 2022) ist die moderne Referenz, die sie alle definiert.

Anfrage-Header (host, authorization, accept-*) beschreiben, was der Client möchte; Antwortheader (location, set-cookie, retry-after) beschreiben, was zurückkam. Einige Felder treten in beide Richtungen auf (cache-control, content-type), und einige wenige steuern die Verbindung selbst (connection: keep-alive) statt des Nachrichteninhalts. Dieser Parser kennzeichnet, zu welcher Seite jeder Header gehört.

Laut RFC 9110 werden die meisten wiederholten Felder zu einer durch Kommas getrennten Liste zusammengefasst - zwei cache-control-Zeilen sind einer Zeile mit no-cache, no-store gleichwertig. Set-Cookie ist die dokumentierte Ausnahme: Es kann niemals per Komma zusammengeführt werden, da Expires-Datumsangaben Kommas enthalten, weshalb Proxies jede Set-Cookie-Zeile einzeln weiterleiten müssen. Diese Ausnahme ist eine klassische Quelle für Proxy-Bugs.

Feldnamen wurden kleingeschrieben und werden als HPACK- oder QPACK-komprimierte Binärframes übertragen; jede Anfrage öffnet ihren eigenen Stream, und verbindungsbezogene Header wie Host wurden durch den :authority-Pseudo-Header ersetzt, neben :method, :scheme und :path. Semantisch folgen die Felder weiterhin RFC 9110 - das Übertragungsformat hat sich geändert, nicht das Vokabular.

Leerzeichen zwischen Feldname und Doppelpunkt (Header : value) - sowohl das HTTP/1.1-Parsing als auch die HTTP/2-Spezifikation lehnen dies ab, um Request Smuggling zu verhindern. Ebenfalls ungültig: Leerzeichen oder Nicht-ASCII-Bytes im Feldnamen, Steuerzeichen in Werten sowie obs-fold (ein durch eine eingerückte Zeile fortgeführter Header), das RFC 9110 als veraltet markiert - durch eine einzelne Zeile oder einen Listenwert ersetzen.