Analizzatore Intestazioni HTTP

Sì. L'analizzatore rileva automaticamente se l'input è una richiesta o una risposta HTTP in base alla prima riga e le analizza di conseguenza. Le righe di richiesta iniziano con un metodo HTTP (GET, POST, ecc.) mentre le righe di risposta iniziano con HTTP/versione.

Sì. Le intestazioni Set-Cookie vengono analizzate in singoli cookie mostrando nome, valore e tutti i flag come HttpOnly, Secure, SameSite, Path, Domain e Max-Age.

Il formato standard HTTP/1.1 e HTTP/2 con un'intestazione per riga nel formato "Nome: Valore". Puoi copiare le intestazioni direttamente dagli strumenti di sviluppo del browser.

Le richieste trasportano tipicamente host, user-agent, accept, accept-encoding e cookie; le risposte contengono content-type, content-length, cache-control, set-cookie e date. Il traffico API aggiunge authorization e content-type: application/json in entrata, e intestazioni rate-limit in uscita. RFC 9110 (semantica HTTP, 2022) è il riferimento moderno che le definisce tutte.

Le intestazioni di richiesta (host, authorization, accept-*) descrivono ciò che il client vuole; le intestazioni di risposta (location, set-cookie, retry-after) descrivono ciò che è arrivato. Alcuni campi compaiono in entrambe le direzioni (cache-control, content-type), e alcuni governano la connessione stessa (connection: keep-alive) piuttosto che il contenuto del messaggio. Questo analizzatore indica a quale lato appartiene ciascuna intestazione.

Secondo RFC 9110, la maggior parte dei campi ripetuti si combina in un'unica lista separata da virgole - due righe cache-control e una riga con no-cache, no-store sono equivalenti. Set-Cookie è l'eccezione documentata: non può mai essere fusa con la virgola perché le date Expires contengono virgole, quindi i proxy devono inoltrare ogni Set-Cookie separatamente. Quell'eccezione è una classica fonte di bug nei proxy.

I nomi dei campi sono diventati minuscoli e viaggiano come frame binari compressi con HPACK o QPACK; ogni richiesta apre il proprio stream, e le intestazioni per-connessione come Host sono state sostituite dallo pseudo-header :authority insieme a :method, :scheme e :path. Semanticamente i campi seguono ancora RFC 9110 - è cambiato il formato di trasmissione, non il vocabolario.

Gli spazi bianchi tra il nome del campo e i due punti (Header : value) - l'analisi HTTP/1.1 e la specifica HTTP/2 lo rifiutano entrambi per prevenire il request smuggling. Sono invalidi anche: spazi o byte non ASCII nel nome del campo, caratteri di controllo nei valori, e obs-fold (un'intestazione continuata da una riga indentata), che RFC 9110 segna come deprecato - sostituiscilo con una singola riga o con un valore a lista.