Что можно передавать в хедерах

Что можно передавать в HTTP-заголовках

HTTP-заголовки (HTTP Headers) — это фундаментальный компонент протокола HTTP, представляющий собой набор пар «ключ-значение», передаваемых между клиентом и сервером. Они выполняют роль метаданных запроса и ответа, управляя передачей данных, кешированием, аутентификацией, сессиями, безопасностью и многим другим. Их возможности обширны и стандартизированы, но также допускают кастомные расширения.

Основные категории заголовков

Заголовки классифицируются по их назначению и контексту (общие, запроса, ответа, представления). Вот ключевые группы данных, которые можно передавать:

1. Управление запросом и контекст клиента

    *   **Метод и цель:** Хотя метод указывается в стартовой строке, заголовки уточняют его семантику (например, `Access-Control-Request-Method` для CORS).
    *   **Целевой URL и хоста:** `Host` (обязательный в HTTP/1.1) указывает домен и порт.
    *   **Клиентское ПО:** `User-Agent` идентифицирует браузер, операционную систему, версию приложения.
    *   **Принимаемый контент:** `Accept`, `Accept-Language`, `Accept-Encoding`, `Accept-Charset` сообщают серверу о предпочтениях клиента по форматам, языкам, кодировкам и кодировкам символов.
    *   **Источник запроса:** `Referer` (орфографическая ошибка в спецификации) указывает URL предыдущей страницы.
    *   **Куки:** `Cookie` передает данные состояния, хранящиеся на стороне клиента (сессионные ID, токены, настройки).

```http
GET /api/users HTTP/1.1
Host: api.example.com
User-Agent: Mozilla/5.0 (X11; Linux x86_64)
Accept: application/json, text/html
Accept-Language: ru-RU, en-US;q=0.9
Cookie: session_id=abc123; theme=dark
```

2. Аутентификация и авторизация

    *   **Учетные данные:** `Authorization` содержит токены (Bearer, Basic, Digest) для доступа к защищенным ресурсам.
    *   **Ключи API:** Часто передаются в `Authorization: Bearer <token>` или в кастомных заголовках типа `X-API-Key`.
    *   **Информация о прокси-аутентификации:** `Proxy-Authorization`.

```http
GET /secure/data HTTP/1.1
Authorization: Bearer eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9...
```

3. Управление кешированием

    *   **Условия запроса:** `Cache-Control`, `If-Modified-Since`, `If-None-Match` (`ETag`) позволяют клиенту запрашивать данные только при их изменении, экономя трафик.
    *   **Валидаторы:** Сервер отвечает с `ETag` и `Last-Modified`, а клиент использует их в последующих запросах.

```http
GET /static/logo.png HTTP/1.1
If-None-Match: "a1b2c3d4e5f6"
Cache-Control: max-age=3600
```

4. Описание тела запроса/ответа (представление)

    *   **Тип контента:** `Content-Type` (MIME-тип, например, `application/json`, `multipart/form-data`) с указанием кодировки (`charset=utf-8`).
    *   **Длина контента:** `Content-Length` для точного определения границ тела в байтах (в HTTP/2 и 3 используется иная механика).
    *   **Кодировка для передачи:** `Content-Encoding` (например, `gzip`, `br`) указывает на сжатие данных.

```http
POST /api/upload HTTP/1.1
Content-Type: multipart/form-data; boundary=boundary123
Content-Length: 2048
```

5. Управление соединением

    *   **Постоянные соединения:** `Connection: keep-alive` (по умолчанию в HTTP/1.1).
    *   **Обновление протокола:** `Upgrade` для перехода на другой протокол (например, WebSocket).
    *   **Управление очередностью (HTTP/2, HTTP/3):** Специфичные заголовки для потоков и приоритетов.

1. Безопасность (CORS, CSP, HSTS и др.)

    *   **CORS (Cross-Origin Resource Sharing):** `Origin`, `Access-Control-Allow-Origin`, `Access-Control-Allow-Methods`, `Access-Control-Allow-Headers` регулируют доступ к ресурсам с других доменов.
    *   **Политика безопасности контента:** `Content-Security-Policy` ограничивает источники скриптов, стилей и других ресурсов.
    *   **HTTPS принудительно:** `Strict-Transport-Security` (HSTS) указывает браузеру всегда использовать HTTPS.

```http
HTTP/1.1 200 OK
Access-Control-Allow-Origin: https://trusted-site.com
Content-Security-Policy: default-src 'self'
Strict-Transport-Security: max-age=31536000; includeSubDomains
```

7. Кастомные (пользовательские) заголовки

    *   Для передачи специфичной для приложения или бизнес-логики информации. По соглашению их имена часто начинаются с `X-` (например, `X-Request-ID` для трассировки, `X-CSRF-Token`).
    *   **Важно:** В современной практике префикс `X-` не является обязательным по RFC 6648, но широко используется.

```http
X-Request-ID: 550e8400-e29b-41d4-a716-446655440000
X-API-Version: 2.1
```

Практическое значение для QA Engineer

Понимание заголовков критически важно для тестирования, потому что:

• Тестирование API: Заголовки — неотъемлемая часть валидации запросов и ответов. Необходимо проверять:

    *   Корректную обработку обязательных заголовков (`Authorization`, `Content-Type`).
    *   Валидацию и санитизацию значений заголовков (инъекции через `User-Agent` или `Referer`).
    *   Поведение при некорректных, отсутствующих или дублирующихся заголовках.
    *   Корректность CORS-заголовков для веб-приложений.

• Тестирование безопасности: Заголовки — ключевой вектор для атак (например, подделка Host, инъекция в X-Forwarded-For, обход проверок Origin). Необходимо проводить security testing на предмет их уязвимого использования.
• Отладка и анализ: Инструменты вроде Chrome DevTools, Fiddler или Wireshark показывают заголовки. Умение их читать позволяет быстро диагностировать проблемы с аутентификацией (401/403), кешированием (304), CORS (preflight-запросы) или сжатием.
• Производительность: Правильная настройка Cache-Control и ETag напрямую влияет на скорость работы приложения. QA может участвовать в нагрузочном тестировании, оценивая влияние этих заголовков.

Вывод: В заголовках передается вся служебная информация, делающая взаимодействие по HTTP осмысленным, безопасным и эффективным. Для QA Engineer глубокое понимание заголовков — это не просто теория, а практический инструмент для построения комплексных тестов API, обеспечения безопасности и диагностики сложных проблем в распределенных системах.