©
This document usesPHP Chinese website manualRelease
HTTP 的 header 允许客户端和服务器通过请求或响应传递附加信息。一个请求头由不区分大小写的名称和一个冒号“:'组成，然后由它的值（没有换行符）组成。在值被忽略之前引导空格。
可以使用'X'前缀添加自定义专有标头，但是该惯例在2012年6月已弃用，原因是非标准字段在 RFC 6648中成为标准时造成的不便之处; 其他人则列入 IANA 注册处，其原始内容已在 RFC 4229中定义。IANA 还维护建议的新 HTTP 消息头的注册表。
头文件可以根据其上下文分组：
常规标题：标题适用于请求和响应，但与最终在正文中传输的数据无关。
请求标头：包含有关要获取的资源或客户端本身的更多信息的标头。
响应标题：包含响应附加信息的标题，如其位置或服务器本身（名称和版本等）。
实体标头：包含有关实体主体的更多信息的标头，如其内容长度或其 MIME 类型。
头文件也可以根据代理如何处理它们进行分组：
End-to-end 的 header 这些头部必须传送给消息的最终收件人; 即请求的服务器或响应的客户端。中间代理必须重新传输未经修改的端到端标头，并且缓存必须存储它们。逐跳标头这些标头仅对单个传输级连接有意义，且不得由代理或缓存重新传输。这样的标题有：Connection，Keep-Alive，Proxy-Authenticate，Proxy-Authorization，TE，Trailer，Transfer-Encoding和Upgrade。请注意，只能使用Connection通用报头设置逐跳报头。
以下列表按照其使用类别汇总了 HTTP 标头。有关按字母顺序排列的列表，请参阅左侧的导航。
WWW-Authenticate定义应该用于访问资源的身份验证方法。
Authorization包含使用服务器验证用户代理的凭据。
Proxy-Authenticate定义应该用来访问代理服务器后面资源的身份验证方法。
Proxy-Authorization包含使用代理服务器验证用户代理的凭据。
Age对象已在代理缓存中的时间（以秒为单位）。
Cache-Control在请求和响应中指定缓存机制的指令。
Expires响应被视为陈旧的日期/时间。
Pragma特定于实现的头部可能会在请求 - 响应链的任何位置产生各种效果。用于向后兼容Cache-Control头部尚不存在的 HTTP / 1.0 缓存。
Warning包含可能问题信息的一般警告字段。
Accept-CH...Content-DPR...DPR...Downlink...Save-Data...Viewport-Width...Width...
Last-Modified它是验证器，是资源的最后修改日期，用于比较同一资源的多个版本。它不太准确ETag，但在某些环境下更容易计算。有条件的请求使用If-Modified-Since和If-Unmodified-Since使用此值来更改请求的行为。
ETag它是一个验证程序，它是标识资源版本的唯一字符串。有条件的请求使用If-Match和If-None-Match使用此值来更改请求的行为。
If-Match使请求有条件并仅当存储的资源与给定的 ETags 中的一个匹配时才应用该方法。
If-None-Match使请求有条件并仅在存储的资源与任何给定的 ETag 不匹配时才应用该方法。这用于更新缓存（用于安全请求），或者防止在已经存在的情况下上载新资源。
If-Modified-Since使请求有条件并期望实体仅在给定日期后被修改的情况下才被传送。这仅用于在缓存过期时传输数据。
If-Unmodified-Since使请求有条件，并期望实体仅在给定日期后未被修改的情况下才被传送。这用于确保特定范围的新片段与先前片段的一致性，或者在修改现有文档时实现乐观并发控制系统。
Connection控制当前事务完成后网络连接是否保持打开状态。
Keep-Alive控制持续连接应保持打开状态的时间。
Accept通知服务器可以发回的数据类型。它是 MIME 类型的。
Accept-Charset通知服务器客户端能够理解哪些字符集。
Accept-Encoding通知服务器有关编码算法，通常是一种压缩算法，可用于回送的资源。
Accept-Language通知服务器关于服务器预期发回的语言。这是一个提示，并不一定完全在用户的全面控制之下：服务器应始终注意不要重写明确的用户选择（如在下拉列表中选择语言）。
Expect表示服务器需要满足的期望，以便正确处理请求。Max-Forwards...
Cookie包含先前由服务器使用Set-Cookie标题发送的存储的 HTTP Cookie 。
Set-Cookie将 cookies 从服务器发送到用户代理。
Cookie2用于包含一个 HTTP cookie ，以前由服务器通过Set-Cookie2标题发送，但已被规范废弃。Cookie改为使用。
Set-Cookie2用于将 cookie 从服务器发送到用户代理，但已被规范废弃。Set-Cookie改为使用。
Access-Control-Allow-Origin指示是否可以共享响应。
Access-Control-Allow-Credentials指示在凭证标志为 true 时是否可以公开对请求的响应。
Access-Control-Allow-Headers用于响应预检请求以指示在发出实际请求时可以使用哪些 HTTP 标头。
Access-Control-Allow-Methods指定访问资源以响应预检请求时允许的方法。
Access-Control-Expose-Headers通过列出其名称，指示哪些头可以作为响应的一部分公开。
Access-Control-Max-Age指示可以缓存预检请求结果的时间长度。
Access-Control-Request-Headers用于发出预检请求以让服务器知道在实际请求发生时将使用哪些 HTTP 标头。
Access-Control-Request-Method用于发出预检请求时，让服务器知道在发出实际请求时将使用哪种 HTTP 方法。
Origin指示获取来源的位置。
DNT用于表达用户的跟踪偏好。
Tk指示应用于相应请求的跟踪状态。
Content-Disposition如果传输的资源应以内联方式显示（标题不存在时的默认行为），或者应该像下载一样处理，并且浏览器应显示“另存为”窗口，那么它是响应标头。
Content-Length表示发送给收件人的实体主体的大小，以十进制数表示。
Content-Type指示资源的媒体类型。
Content-Encoding用于指定压缩算法。
Content-Language描述用于受众的语言，以便用户根据用户自己的首选语言进行区分。
Content-Location指示返回数据的备用位置。
Forwarded包含代理服务器的面向客户端的信息，这些信息在请求路径中包含代理时发生了改变或丢失。
X-Forwarded-For标识通过 HTTP 代理或负载平衡器连接到 Web 服务器的客户端的始发 IP 地址。
X-Forwarded-Host标识客户端用于连接到代理或负载平衡器的原始主机请求。
X-Forwarded-Proto标识客户端用于连接到代理或负载平衡器的协议（ HTTP 或 HTTPS ）。
Via代理添加了正向和反向代理，并且可以出现在请求头和响应头中。
Location指示将页面重定向到的 URL 。
From包含控制请求用户代理的人类用户的 Internet 电子邮件地址。
Host指定服务器的域名（用于虚拟主机），以及（可选）指定服务器正在侦听的 TCP 端口号。
Referer之前的网页的地址，从该网页开始，链接到当前请求的页面。
Referrer-Policy管理在Referer头文件中发送的引用者信息应包含在请求中。
User-Agent包含允许网络协议对等方标识请求软件用户代理的应用程序类型，操作系统，软件供应商或软件版本的特征字符串。另请参阅 Firefox 用户代理字符串参考。
Allow列出资源支持的一组 HTTP 请求方法。
Server包含有关原始服务器用来处理请求的软件的信息。
Accept-Ranges指示服务器是否支持范围请求，如果有，请在哪个单位范围内表示。
Range指示服务器应返回的文档的一部分。
If-Range创建一个条件范围请求，只有当给定的 etag 或日期与远程资源匹配时才会满足该条件范围请求。用于防止从资源的不兼容版本下载两个范围。
Content-Range指示部分消息所属的全身消息的位置。
Content-Security-Policy（CSP）控制用户代理允许为给定页面加载的资源。
Content-Security-Policy-Report-Only允许 Web 开发人员通过监视（但不强制执行）其效果来实验策略。这些违规报告由通过 HTTP 请求发送到指定 URI 的 JSON 文档组成POST。
Public-Key-Pins（HPKP）将特定加密公钥与某个 Web 服务器关联，以降低伪造证书对 MITM 攻击的风险。Public-Key-Pins-Report-Only将报告发送到标题中指定的 report-uri ，并且仍允许客户端连接到服务器，即使违反了锁定。
Strict-Transport-Security（HSTS）使用 HTTPS 而不是 HTTP 强制通信。
Upgrade-Insecure-Requests向服务器发送一个信号，表示客户对加密和认证响应的偏好，并且可以成功处理该upgrade-insecure-requests指令。
X-Content-Type-Options禁用 MIME 嗅探并强制浏览器使用中指定的类型Content-Type。
X-Frame-Options（XFO）指示是允许浏览器呈现，
