在 JavaScript 中设置请求标头

Question

在使用 XMLHttpRequest 进行 AJAX 调用时，我似乎无法从 JavaScript 更改大多数请求标头。请注意，当 Gecko 浏览器中必须在 request.open() 之后调用 request.setRequestHeader 时（请参阅 http://ajaxpatterns.org/Talk:XMLHttpRequest_Call）。当我设置 Referer 时，它没有被设置（我查看了使用 Firebug 和 Tamper Data 发送的请求标头）。当我设置 User-Agent 时，它完全搞乱了 AJAX 调用。但是，设置 Accept 和 Content-Type 确实有效。我们是否禁止在 Firefox 3 中设置 Referer 和 User-Agent？

var request = new XMLHttpRequest();
var path="http://www.yahoo.com";
request.onreadystatechange=state_change;

request.open("GET", path, true);
request.setRequestHeader("Referer", "http://www.google.com");
//request.setRequestHeader("User-Agent", "Mozilla/5.0");
request.setRequestHeader("Accept","text/plain");
request.setRequestHeader("Content-Type","text/plain");

request.send(null);
    function state_change()
{
if (request.readyState==4)
  {// 4 = "loaded"
  if (request.status==200)
    {// 200 = OK
    // ...our code here...
    alert('ok');
    }
  else
    {
    alert("Problem retrieving XML data");
    }
  }
}

Answer 1

W3C Spec on setrequestheader.

要点：

如果请求头有 已经设置，然后是新值 必须连接到现有的 使用 U+002C 逗号后跟的值 用于分隔的 U+0020 SPACE。

UA 可以给 User-Agent 标头一个初始值，但必须允许作者对其附加值。

但是 - 在 jQuery 中搜索框架 XHR 后，它们不允许您更改 User-Agent 或 Referer 标头。最接近的东西：

// Set header so the called script knows that it's an XMLHttpRequest
xhr.setRequestHeader("X-Requested-With", "XMLHttpRequest");

我倾向于认为你想做的事情被 FF 中的安全策略拒绝 - 如果你想传递一些自定义的 Referer 类型标题，你总是可以这样做：

xhr.setRequestHeader('X-Alt-Referer', 'http://www.google.com');

Answer 2

@gnarf 的回答是对的。想添加更多信息。

Mozilla 错误参考：https://bugzilla.mozilla.org/show_bug.cgi?id=627942

如果标头与以下标头之一不区分大小写，则终止这些步骤：

Accept-Charset
Accept-Encoding
Access-Control-Request-Headers
Access-Control-Request-Method
Connection
Content-Length
Cookie
Cookie2
Date
DNT
Expect
Host
Keep-Alive
Origin
Referer
TE
Trailer
Transfer-Encoding
Upgrade
User-Agent
Via

来源：https://dvcs.w3.org/hg/xhr/raw-file/tip/Overview.html#dom-xmlhttprequest-setrequestheader

Answer 3

对于正在查找此内容的人：

现在似乎从 Firefox 43 开始允许设置 User-Agent 标头。有关当前禁止标头的列表，请参见 https://developer.mozilla.org/en-US/docs/Glossary/Forbidden_header_name。