HTTP 头详解

Accept

客户端能处理的内容类型，如 text/html, application/json

Accept-Encoding

支持的压缩编码，如 gzip, deflate, br

Accept-Language

首选语言，如 zh-CN, en-US;q=0.9

Authorization

身份验证凭证，如 Bearer xxx 或 Basic base64(user:pass)

Cookie

客户端 Cookie 列表

Host

目标服务器域名（HTTP/1.1 必需）

Origin

请求源（用于 CORS）

Referer

来源页面 URL

User-Agent

客户端标识（浏览器/操作系统）

X-Forwarded-For

代理链中真实客户端 IP

X-Real-IP

Nginx 常用，传递真实 IP

Access-Control-Allow-Origin

CORS：允许跨域的源

Content-Encoding

内容编码，如 gzip, br

Content-Disposition

触发下载，如 attachment; filename="file.zip"

ETag

实体标签，用于缓存校验

Expires

过期时间（HTTP 日期格式）

Last-Modified

最后修改时间

Location

重定向目标（3xx 状态码使用）

Set-Cookie

设置 Cookie

Server

服务器软件信息，如 nginx/1.24.0

Strict-Transport-Security

强制 HTTPS（HSTS）

WWW-Authenticate

需认证，401 响应使用

X-Content-Type-Options

nosniff，禁止 MIME 嗅探

X-Frame-Options

防点击劫持：DENY / SAMEORIGIN

X-Powered-By

后端技术栈标识，可暴露细节

Cache-Control

缓存指令，如 max-age=3600, no-cache, private

Content-Type

实体内容类型，如 application/json; charset=utf-8

Content-Length

实体字节数