有没有办法让HTTP请求头不可变？

Question

Web应用程序可以通过HTTP请求本身中的向量来攻击。 HTTP响应分裂等攻击利用修改请求头本身来利用易受攻击的应用程序。除了服务器端的输入验证和消毒之外，我想到的问题是如果可以使请求标头不可变。

是否有可能使它不可变？

Answer 1

请求标头从客户端发送到服务器。

浏览器本身构造一个HTTP请求发送。拥有客户端控制权的用户当然可以改变HTTP请求，包括头部到他们想要的任何东西。

因此，使它们不可变是不可能的。请记住，作为一般规则，客户端上的任何内容都可用于争夺。

您可以防止在传输过程中更改标题。也就是说，HTTP请求在从客户端到服务器的连线上。为此，使用了称为TLS的技术（以前称为SSL，大部分时间仍然是）。这加密和认证连接，使其不可变。

您可以看到是否正在使用TLS/SSL，因为浏览器地址栏将在URL的最开始处显示HTTPS。