Парсер HTTP-заголовков

Да. Парсер автоматически определяет, является ли ввод HTTP-запросом или ответом на основе первой строки и разбирает соответствующим образом. Строки запроса начинаются с HTTP-метода (GET, POST и т. д.), а строки ответа — с HTTP/версия.

Да. Заголовки Set-Cookie разбираются на отдельные cookie с отображением имени, значения и всех флагов, таких как HttpOnly, Secure, SameSite, Path, Domain и Max-Age.

Стандартный формат HTTP/1.1 и HTTP/2 с одним заголовком на строку в формате «Имя: Значение». Вы можете скопировать заголовки прямо из инструментов разработчика браузера.

Запросы обычно содержат host, user-agent, accept, accept-encoding и cookie; ответы возвращают content-type, content-length, cache-control, set-cookie и date. В API-трафике в направлении запроса добавляются authorization и content-type: application/json, а в направлении ответа — заголовки rate-limit. RFC 9110 (семантика HTTP, 2022) — современный стандарт, определяющий их все.

Заголовки запроса (host, authorization, accept-*) описывают, чего хочет клиент; заголовки ответа (location, set-cookie, retry-after) описывают, что пришло в ответ. Некоторые поля встречаются в обоих направлениях (cache-control, content-type), а некоторые управляют самим соединением (connection: keep-alive), а не содержимым сообщения. Этот парсер помечает, к какой стороне относится каждый заголовок.

Согласно RFC 9110, большинство повторяющихся полей объединяются в один список через запятую — две строки cache-control эквивалентны одной строке вида no-cache, no-store. Set-Cookie — документированное исключение: его нельзя объединять запятой, поскольку даты в Expires содержат запятые, поэтому прокси должны пересылать каждый Set-Cookie отдельно. Это исключение — классический источник ошибок в прокси.

Имена полей стали строчными и передаются в виде бинарных фреймов, сжатых HPACK или QPACK; каждый запрос открывает собственный поток, а заголовки соединения вроде Host были заменены псевдозаголовком :authority наряду с :method, :scheme и :path. Семантически поля по-прежнему следуют RFC 9110 — изменился формат передачи, а не словарь.

Пробел между именем поля и двоеточием (Header : value) — парсер HTTP/1.1 и спецификация HTTP/2 отклоняют его для предотвращения request smuggling. Также недопустимы: пробелы или не-ASCII байты внутри имени поля, управляющие символы в значениях и obs-fold (заголовок, продолженный строкой с отступом), который RFC 9110 помечает как устаревший — замените его одной строкой или значением-списком.