WebKit“拒绝设置不安全的标头‘内容长度’”

IT技术 javascript ajax xmlhttprequest
2021-02-16 01:19:18

我正在尝试实现简单的 xhr 抽象,并且在尝试为 POST 设置标头时收到此警告。我认为这可能与在单独的 js 文件中设置标题有关,因为当我<script>在 .html 文件标签中设置它们时,它工作正常。POST 请求工作正常,但我收到此警告,并且很好奇为什么。我对content-lengthconnection标题都收到此警告,但仅在 WebKit 浏览器(Chrome 5 beta 和 Safari 4)中。在 Firefox 中,我没有收到任何警告,Content-Length 标头设置为正确的值,但 Connection 设置为 keep-alive 而不是 close,这让我认为它也忽略了我的 setRequestHeader 调用并生成它自己的。我还没有在 IE 中尝试过这段代码。这是标记和代码:

test.html

<!DOCTYPE html>
<html>
    <head>
        <script src="jsfile.js"></script>
        <script>
            var request = new Xhr('POST', 'script.php', true, 'data=somedata',  function(data) { 
                console.log(data.text); 
            });
        </script>
    </head>
    <body>
    </body>
</html>

jsfile.js

function Xhr(method, url, async, data, callback) {
    var x;
    if(window.XMLHttpRequest) {
        x = new XMLHttpRequest();

        x.open(method, url, async);

        x.onreadystatechange = function() {
            if(x.readyState === 4) {
                if(x.status === 200) {
                    var data = {
                        text: x.responseText,
                        xml: x.responseXML
                    };
                    callback.call(this, data);
                }
            }
        }

        if(method.toLowerCase() === "post") {
            x.setRequestHeader("Content-Type", "application/x-www-form-urlencoded");
            x.setRequestHeader("Content-Length", data.length);
            x.setRequestHeader("Connection", "close");
        }

        x.send(data);
    } else {
        // ... implement IE code here ...
    }
    return x;
}
1个回答

它也忽略我的 setRequestHeader 调用并生成自己的

是的,标准规定它必须:

出于安全原因,如果 header 是 [...]

  • 联系
  • 内容长度

弄乱这些可能会暴露各种请求走私攻击,因此浏览器始终使用自己的值。没有必要或理由尝试设置请求长度,因为浏览器可以根据您传递给send().

jQuery.ajax 请求根本没有根据开发者工具中 Chrome 的网络请求选项卡设置 Content-Length,我不知道为什么。它尝试手动设置它,但遇到此错误。请求正在发送到服务器并由 svc 文件处理,但响应最终为空。如果我从 chrome 中的邮递员之类的工具发送请求,则不会发生此问题。jQuery.ajax 好像有问题
2021-04-15 01:19:18
@Hiro:你想设置什么标题?HTTP 请求通常不会为您解压 .gzip 资源;有 gzip Content-Encoding 可以压缩网络上的资源,但是浏览器会再次自动为您执行此操作,这不是您需要(或可以)使用XMLHttpRequest.setRequestHeader.
2021-04-21 01:19:18
我需要 setRequestHeader 来解压缩 .gzip 文件...这合法吗?
2021-04-23 01:19:18
我使用在线雅虎工具压缩了我的内容......然后我必须在我的代码中进行更改,我必须在 PHP 中做的是 header("Content-Encoding: gzip"); 在 ajax 将压缩数据发送回客户端之前......现在快得多......而且只有一行代码和一个在线工具。
2021-04-25 01:19:18
尤其是学习 PHP、MySqL 和 JavaScript 的书籍,仍然教人们手动执行此操作……阅读那本书后我也做了同样的事情。
2021-05-06 01:19:18