/
143.txt
317 lines (225 loc) · 18.4 KB
/
143.txt
1
2
3
4
5
6
7
8
9
10
11
12
13
14
15
16
17
18
19
20
21
22
23
24
25
26
27
28
29
30
31
32
33
34
35
36
37
38
39
40
41
42
43
44
45
46
47
48
49
50
51
52
53
54
55
56
57
58
59
60
61
62
63
64
65
66
67
68
69
70
71
72
73
74
75
76
77
78
79
80
81
82
83
84
85
86
87
88
89
90
91
92
93
94
95
96
97
98
99
100
101
102
103
104
105
106
107
108
109
110
111
112
113
114
115
116
117
118
119
120
121
122
123
124
125
126
127
128
129
130
131
132
133
134
135
136
137
138
139
140
141
142
143
144
145
146
147
148
149
150
151
152
153
154
155
156
157
158
159
160
161
162
163
164
165
166
167
168
169
170
171
172
173
174
175
176
177
178
179
180
181
182
183
184
185
186
187
188
189
190
191
192
193
194
195
196
197
198
199
200
201
202
203
204
205
206
207
208
209
210
211
212
213
214
215
216
217
218
219
220
221
222
223
224
225
226
227
228
229
230
231
232
233
234
235
236
237
238
239
240
241
242
243
244
245
246
247
248
249
250
251
252
253
254
255
256
257
258
259
260
261
262
263
264
265
266
267
268
269
270
271
272
273
274
275
276
277
278
279
280
281
282
283
284
285
286
287
288
289
290
291
292
293
294
295
296
297
298
299
300
301
302
303
304
305
306
307
308
309
310
311
312
313
314
315
316
317
[17] [[HTTP]] における[DFN[[RUBYB[[[ヘッダー]]]@en[header]]]]は、
当該[[メッセージ]]の解釈や処理の方法に関する情報を入れる欄です。
[[ヘッダー]]は[[名前]] ([[欄名]]) と値 ([[欄値]]) の組です。
[[メッセージ]]には任意の個数[[ヘッダー]]を含められます。
[18] [[HTTP]] 仕様書では[[ヘッダー]]は[DFN[[RUBYB[[[頭欄]]]@en[header field]]]]
([DFN[[[ヘッダーフィールド]]]]) と呼ばれます。
一般的には、また [[HTTP]] 以外の多くの [[Web]] 関連仕様では、単に[[ヘッダー]]と呼ばれています。
;; [19] 「header field」という用語は [[HTTP]] が影響を受けた [[RFC 822]]
などの[[電子メール]]仕様の用語に由来しますが、[[電子メール]]においても一般的には[[ヘッダー]]と呼ばれています。
* 仕様書
[REFS[
- [12] '''[CITE@en[RFC 7230 - Hypertext Transfer Protocol (HTTP/1.1): Message Syntax and Routing]] ([TIME[2014-06-07 01:59:35 +09:00]] 版) <https://tools.ietf.org/html/rfc7230#section-3.2>'''
- [434] [CITE@en[RFC 7230 - Hypertext Transfer Protocol (HTTP/1.1): Message Syntax and Routing]] ([TIME[2014-06-07 01:59:35 +09:00]] 版) <https://tools.ietf.org/html/rfc7230#page-50>
- [39] [CITE@en[RFC 7231 - Hypertext Transfer Protocol (HTTP/1.1): Semantics and Content]] ([TIME[2014-08-07 05:54:02 +09:00]] 版) <https://tools.ietf.org/html/rfc7231#section-8.3>
]REFS]
* 文脈
[13] [[ヘッダー]]は、[[HTTPメッセージ]]において[[開始行]]と[[メッセージ本体]]の直前の空行との間に0個以上指定できます。
[14] ただし [[HTTP/0.9]] [[メッセージ]]には指定できません。
[446] [[ヘッダー]]は[[トレーラー部]]にも0個以上指定できます。
[447] [[ヘッダー]]の種類 ([[ヘッダー名]]) や[[要求メッセージ]]、[[状態符号]]その他の文脈により、
それぞれ更に細かい制約があります。 (詳細は各[[ヘッダー]]の文脈の項を参照してください。)
;; [42] [[RFC 7231]] は[[ヘッダー]]の仕様書に対し、使っても良い文脈を明記することを検討するよう求めています [SRC[>>39]]。
しかし当の [[RFC 723x]] が、使って良い文脈を完全には明記していません。
使ってはいけない状況や使わなければならない文脈は明記されていることが多いですが、
その他の多くは曖昧にされています。
* 構文
[15] [[ヘッダー]]は、[[欄名]]、 [CODE(char)[[[:]]]]、[[欄値]]で構成されます。
[[欄値]]の前後には[[空白]] ([CODE(ABNF)[[[OWS]]]]) を入れることができます。 [SRC[>>12]]
[[ヘッダー]]の直後には、必ず [[CRLF]] が必要です。
[16] [[欄名]]は、対応する[[欄値]]に対する[[名札]]となるもの [SRC[>>12]]
であり、[[欄値]]の構文と意味は[[欄名]]により決まります。
;; [433] 詳しくは[[欄名]]と[[欄値]]を参照してください。
[FIG(railroad)[
= [[字句]]
= [CODE[[[:]]]]
= [[OWS]]
= [[欄値]]
= [[OWS]]
]FIG]
[432] [[HTTP]] においては[[ヘッダー]]の値が[[空文字列]]であることと、
[[ヘッダー]]が指定されていないことは同義ではありません。また[[空文字列]]は非推奨でも何でもなく、
定義上[[空文字列]]であることが要求されている場面もあります。
[54] また、[[ヘッダー]]の値が [CODE[0]] という文字列となることもあります。
[55] [[空文字列]]や [CODE[0]] を[[偽]]として扱う[[プログラミング言語]]で処理する際には注意が必要です。
* 構文解析
[35] [[HTTPメッセージ]]全体としての[[構文解析]]では、
[[ヘッダー]]の名前と値の構造までは[[構文解析]]しますが、
[[欄値]]は解釈が必要になるまで[[構文解析]]しないのが普通です。
;; [34] [[HTTPメッセージ]]の[[構文解析]]の項も参照してください。
[36] [[欄名]]と [CODE(char)[[[:]]]] の間には[[空白]]認められていません。
[[鯖]]は、[[空白]]がある場合 [CODE(HTTP)[[[400]]]]
[[応答]]を返して拒絶しなければ[['''なりません''']]。
[[串]]は、[[下流]]に[[転送]]する前に[[空白]]を削除しなければ[['''なりません''']]。
[SRC[>>12]]
;; [44] 歴史的に[[空白]]の扱いが異なる実装があったため、[[セキュリティー]]上の問題を引き起こしたことがありました
[SRC[>>43]]。
[37] [[欄値]]の前後の [[OWS]] は、[[欄値]]の一部ではなく、
[[構文解析]]の際に削除します [SRC[>>12]]。
[38] [[欄値]]には[[行折り畳み]]が含まれていることがあります。
その処理については、[[欄値]]、[[行折り畳み]]の項を参照してください。
[401] [[鯖]]は、処理したい長さより長い[[ヘッダー]]のある[[要求]]を受信した時は、
適切な [CODE(HTTP)[[[4xx]]]] [[状態符号]]で応答しなければ[['''なりません''']] [SRC[>>12]]。
;; [404] [CODE(HTTP)[[[431]]]] が適当そうですが、限定されていないのには何か意味があるのでしょうか?
([[HTTP]] 本体である [[RFC 723x]] に含まれていないという形式的な理由かもしれませんが、
仕様書はもっと実装者に有用な情報を提供してほしいものです...)
[402] [[クライアント]]は、処理したい長さより長い[[ヘッダー]]のある[[応答]]を受信した時は、
それによって[[メッセージ]]の[[フレーム付け]]や[[応答]]の意味が変わってしまわない限り、
当該[[ヘッダー]]を除去したり途中で切ったりしても構いません。 [SRC[>>12]]
;; [403] 意味が変わってしまう場合にどうするべきかは明記されていません。
[26] [[鯖]]は、[[要求]]の[[ヘッダー]]全体を[[受信]]するまで[[対象資源]]に[[要求]]を適用しては[['''なりません''']]
[SRC[>>12]]。
* ヘッダーの種類
[20] [[ヘッダー]]の種類は[[ヘッダー名]]により識別されます。
[[ヘッダー]]は、 [[HTTP]] 本体仕様で定義されている他、
追加の[[ヘッダー]]が随時追加されています。
[7] [[HTTPヘッダー]]には、 [[RFC]] で規定されているもの、
実装依存のものなど沢山の種類があります。詳しくは[[HTTPヘッダーの一覧]]を参照してください。
[21] [[ヘッダー名]]については、[[電子メール]]等と共通の [[IANA登録簿]]があります
[SRC[>>438, >>39]]。定義された[[ヘッダー]]は、 [[IANA]]
に登録する[RUBYB[べき]@en[ought to]]です [SRC[>>12]]。
;; [47] しかし実際には大多数の[[ヘッダー]]は登録されていません。
また [[HTTP]] 仕様上も登録されていない[[ヘッダー]]の利用は禁止されていないようです。
[22] [[串]]は、原則として認識できない[[ヘッダー]]を[[転送]]しなければ[['''なりません''']]
[SRC[>>12]]。 ([CODE(HTTP)@en[[[Connection:]]]] [[ヘッダー]]による指定や[[串]]の個別の設定など、
他の規定により[[転送]]しなくて良い場合もあります。)
;; >>435 も参照。
[23] [[串]]以外の[[受信者]]は、認識できない[[ヘッダー]]を無視する[['''べきです''']]
[SRC[>>12]]。
;; [51] ここでいう「無視」は、それによって特別な処理をしないことを指しています。
例えば[[Webブラウザー]]は、 [[XHR]] によって得られた[[応答]]に
([[Webブラウザー]]が) 知らない[[ヘッダー]]が含まれていたら、
それを [[XHR]] の [[API]] によって[[スクリプト]]に提供することが求められます
(「無視」して削除してはいけません)。
[REFS[
- [438] [CITE[Message Headers]] ([TIME[2014-06-13 18:50:11 +09:00]] 版) <http://www.iana.org/assignments/message-headers/>
- [437] [CITE@en[RFC 7230 - Hypertext Transfer Protocol (HTTP/1.1): Message Syntax and Routing]] ([TIME[2014-06-07 01:59:35 +09:00]] 版) <https://tools.ietf.org/html/rfc7230#section-8.1>
]REFS]
* ヘッダーの順序
[24] 異なる[[欄名]]の[[ヘッダー]]同士の順序は、意味を持ちません [SRC[>>12]]。
[27] 同名の[[ヘッダー]]の順序には意味があります [SRC[>>12]]。
[[串]]は[[転送]]の際にその順序を入れ替えては[['''なりません''']] [SRC[>>12]]。
[25] 制御データを含む [CODE(HTTP)@en[[[Host:]]]] や
[CODE(HTTP)@en[[[Date:]]]] などを先に送信するのが[RUBYB[良い習慣]@en[good practice]]とされています。
[SRC[>>12]]
;; [52] 別の名前の[[ヘッダー]]の順序を[[串]]が入れ替えることは仕様上禁止はされていないようですが、普通は入れ替えないものと思われます。
;; [53] [[ライブラリー]]や[[フレームワーク]]の類は[[ヘッダー]]の一覧を順序を保持できない[[ハッシュ]]や[[連想配列]]のような[[データ構造]]に変換することがあります。
ですから[[送信者]]は[[ヘッダー]]の順序に意味を持たせることができません。
* 同名ヘッダー
[28] [[送信者]]は、[[欄値]]全体が[[リスト]] ([CODE[#]])
として定義されている場合や、特に認められている場合を除き、
同名の[[ヘッダー]]を複数[[生成]]しては[['''なりません''']] [SRC[>>12]]。
[EG[
[30] 例えば [CODE(HTTP)@en[[[Set-Cookie:]]]] [[ヘッダー]]は、[[リスト]]として定義されていませんが、
複数含めることが認められています。
]EG]
[29] [[受信者]]は、同名の[[ヘッダー]]を、出現順に値を [CODE[[[,]]]]
で区切って連結することでまとめて構いません。 [SRC[>>12]]
;; [31] しかし[[リスト]]以外の構文を持つ[[ヘッダー]]は、この連結によって意味が変わってしまうことがあります。
[CODE(HTTP)@en[[[Set-Cookie:]]]] は連結することで意味が変わってしまうので、
連結する[['''べきではない''']]とされています。
;; [32] 従って、 [[HTTP]] 仕様は [CODE[[[,]]]] による連結を認めていますが、
現実には [CODE[[[,]]]] による連結は [[Web互換]]ではありません。
;; [33] にも関わらず、[[プログラミング言語]]や[[ライブラリー]]によっては連結した後の値しか[[プログラム]]に提供していないことがあります。
[440] [[CGI]] では[[ヘッダー]]を[[メタ変数]]にする時に、同じ名前の[[ヘッダー]]が複数あれば
[CODE[[[,]]]] により連結することになっています。これは[[ヘッダー]]の種類に関わらず適用されます。
[40] [[RFC 7231]] は[[ヘッダー]]の値が1つか[[リスト]]か、
[[リスト]]でない場合に複数の[[ヘッダー]]が指定された時どうする処理するべきかを[[ヘッダー]]の仕様書が明記することを検討するよう求めています [SRC[>>39]]。
;; [41] なぜか明記することを要求ではなく、明記することを検討するよう要請しているに過ぎません。
そして当の [[RFC 723x]] は基本的にそれを明記していません。
[443] [CODE(HTTP)@en[[[Vary:]]]] [[ヘッダー]]は構文が [CODE[#]] を使って定義されていますが、
それとは別に [CODE[[[*]]]] という値も認められていて、「欄値全体が [CODE[#]]」
という条件を満たしませんから、複数指定できません。
[445] [[ヘッダー]]を複数指定できるかどうかは、 >>444 の JSON データファイルの
[CODE[multiple]] フラグで確認できます。
[REFS[
- [444] [CITE@en[data-web-defs/headers.txt at master · manakai/data-web-defs]] ([TIME[2014-09-01 12:55:03 +09:00]] 版) <https://github.com/manakai/data-web-defs/blob/master/doc/headers.txt>
]REFS]
* 串
[435] [[串]]は、通信連鎖の端点や[[資源]]の状態や選択された[[表現]] ([[payload]] 以外)
についての情報を提供する[[ヘッダー]]については、
特に認められている場合やプライバシーやセキュリティーのため必要な場合を除き、
変更する[['''べきではありません''']] [SRC[>>434]]。
;; [436] 具体的に何のことを指しているのか不明です。
[45] [[HTTP]] の仕様上は >>435 のような限定的な要件しか示されていますが、
実用上、[[串]]は、[[ヘッダー]]の定義上求められている場合と[[変形]]のために必要な場合を除き、
[[ヘッダー]]を追加したり、削除したりするべきではないと思われます。
[EG[
[46] 例えば [[IANA]] に登録されていない[[ヘッダー]]をすべて削除してしまうような[[串]]は、
[[HTTP]] 仕様に明確には違反していませんが、 [[Web互換]]ではありません。
広く利用されているのになぜか [[IANA]] には登録されていない[[ヘッダー]]や、
特定の [[Webサイト]]で[[鯖]]と[[クライアント]]上の[[スクリプト]]との間の情報交換に使う独自の[[ヘッダー]]などが削除されたり改変されたりする[[串]]は実用的ではありません。
]EG]
;; [50] [[キャッシュ項目]]も参照。
* CGI
[2] [[CGI]] においては、[[要求メッセージ]]に含まれる[[HTTPヘッダー]]は
[CODE(CGI)@en[[[HTTP_*]]]] [[メタ変数]]群によって[[鯖]]から[[CGIスクリプト]]に伝達されます。
[48] また[[応答メッセージ]]に含まれるべき[[HTTPヘッダー]]は、
[[HTTPヘッダー]]とほぼ同等の[[CGIヘッダー]]によって[[CGIスクリプト]]から[[鯖]]に伝達されます。
;; [49] 詳しくは [CODE(CGI)@en[[[HTTP_*]]]]、[[CGIヘッダー]]を参照。
* 歴史
[REFS[
- [43] [CITE@en-US[MFSA 2006-33: HTTP response smuggling]] ([TIME[2014-10-21 03:53:24 +09:00]] 版) <https://www.mozilla.org/security/announce/2006/mfsa2006-33.html>
]REFS]
[1] [[HTTP]] の[[頭欄]]は4つに分類できます。
=[[一般頭欄]] (general-header fields)
=[[要求頭欄]] (request-header fields)
=[[応答頭欄]] (response-header fields)
=[[実体頭欄]] (entity-header fields)
[3] HTTP の頭欄の順序には指定はありません。
とはいえ、 [[RFC1945]], [[RFC2068]], [[RFC2616]] は「良い習慣」
(“good practice”) である順序を述べています。種類別に >>1
の順序で並べるのが良いそうです。 (種類ごとの順序は決められていません。
もし [[ABNF]] 構文の登場順にするとすれば、アルファベット順になります。)
[4] ''HTTP Response Headers'' <http://msdn.microsoft.com/workshop/author/dhtml/reference/constants/response_headers.asp>
[[M$]] が知っているらしい「応答頭欄」の一覧です。
M$ 的には[[応答]]で帰ってくる欄は全て応答頭欄というらしいです。
単なる一覧であって簡単な説明しかありません。
[[Site-Enter:]] のような独自拡張欄は載っていません。
怪しげな欄を抜き出してみると:
:CONTENT-TRANSFER_ENCODING:
:ECHO-HEADERS:Not implemented.
:ECHO-HEADERS-CRLF:Not implemented.
:ECHO-REPLY:Not implemented.
:ECHO-REQUEST:Not implemented.
:ORIG-URI:
:RAW-HEADERS:All the headers returned by the server. Each header is terminated by "\0". An additional "\0" terminates the list of headers.
:RAW-HEADERS-CRLF:All the headers returned by the server. Each header is separated by a carriage return/line feed (CR/LF) sequence.
:STATUS-CODE:Status code returned by the server. For a list of possible values, see HTTP Status Codes.
:STATUS-TEXT:Any additional text returned by the server on the response line.
:VERSION:Last response code returned by the server.
リンクがある [[wininet]] 系の関数で指定する値も含めているのかもしれませんが。
他にも [[Cookie:]] 欄が載っているとか。 WinIE からサーバーに [[Cookie]]
発行するんでしょうか?
- [5] 「[VAR[foo]]'' '':」のように [CODE(HTTP)[:]] の前に [[WSP]] が入っていると扱えない [[UA]] があるので注意が必要です。
- [6] ''Nonstandard HTTP Headers'' <http://web.archive.org/web/20020610043404/http://www.dais.is.tohoku.ac.jp/~kabe/WWW/nonstdhdr.html>: 有名な『[[UserAgent]] についてのたわごと』の人が書いたメモ。
[8] [CITE[URLRequestHeader - Adobe ActionScript® 3 (AS3 ) API Reference]]
( ([TIME[2014-02-19 08:18:03 +09:00]] 版))
<http://help.adobe.com/en_US/FlashPlatform/reference/actionscript/3/flash/net/URLRequestHeader.html>
[9] [CITE[IRC logs: freenode / #whatwg / 20140610]]
( ([TIME[2014-06-11 15:22:06 +09:00]] 版))
<http://krijnhoetmer.nl/irc-logs/whatwg/20140610>
[10] [CITE[Rework all things request headers · 35b2c8b · whatwg/fetch]]
( ([TIME[2014-06-13 15:03:38 +09:00]] 版))
<https://github.com/whatwg/fetch/commit/35b2c8b42797e1b2bc8e97f204aaf7c618599202>
[11] [CITE[Align with new Fetch header terminology and unsafe request flag · 6766628 · whatwg/xhr]]
( ([TIME[2014-06-13 15:03:59 +09:00]] 版))
<https://github.com/whatwg/xhr/commit/676662852dbb08836f3697f293484a78167938bf>
[441] [CITE[Illustrate how headers are (soon to be) divided in the platform · a6b39f5 · whatwg/fetch]]
( ([TIME[2014-08-01 07:02:33 +09:00]] 版))
<https://github.com/whatwg/fetch/commit/a6b39f5bbc8163f5336c4c384d62480c5003bd5e>
[442] [CITE[Clarify header ideas a bit. Still not great. https://github.com/slightly... · 137ff3d · whatwg/fetch]]
( ([TIME[2014-08-02 07:30:33 +09:00]] 版))
<https://github.com/whatwg/fetch/commit/137ff3df74d0bb5cbc4aadbbdceb9169d30c3f36>
[448] [CITE@en[RFC 3507 - Internet Content Adaptation Protocol (ICAP)]]
( ([TIME[2014-06-08 07:17:07 +09:00]] 版))
<http://tools.ietf.org/html/rfc3507#section-4.3>
[449] [CITE@en[draft-aranda-dispatch-q4s-02 - The Quality for Service Protocol]]
( ([TIME[2014-07-28 09:14:06 +09:00]] 版))
<http://tools.ietf.org/html/draft-aranda-dispatch-q4s-02#section-4>
[450] [CITE@en[draft-reschke-http-jfv-00 - A JSON Encoding for HTTP Header Field Values]]
( ([TIME[2014-10-16 11:48:14 +09:00]] 版))
<http://tools.ietf.org/html/draft-reschke-http-jfv-00>
[451] [CITE@en[RFC 4037 - Open Pluggable Edge Services (OPES) Callout Protocol (OCP) Core]]
( ([TIME[2014-10-26 15:20:25 +09:00]] 版))
<https://tools.ietf.org/html/rfc4037#section-3.1>