Как в HTTP определяется длина запроса?

Определение длины тела HTTP-запроса

В HTTP длина тела запроса (message body) определяется с помощью нескольких механизмов, описанных в спецификации RFC 7230. Основные способы:

1. Заголовок Content-Length

Наиболее прямой способ — указание точной длины тела в байтах через заголовок Content-Length. Сервер читает это значение и знает, сколько байт ожидать.

POST /upload HTTP/1.1
Host: example.com
Content-Type: application/json
Content-Length: 128

Важные нюансы:

• Значение должно быть неотрицательным целым числом.
• Если Content-Length указан для запроса с телом (например, POST), но тело отсутствует — это ошибка.
• Нельзя указывать несколько Content-Length с разными значениями.

2. Трансферное кодирование Transfer-Encoding

Если используется Transfer-Encoding: chunked, тело разбивается на фрагменты (chunks). Каждый фрагмент имеет свой размер, а завершается нулевым фрагментом. Это позволяет передавать тело без знания его общей длины заранее.

POST /data HTTP/1.1
Host: example.com
Transfer-Encoding: chunked

7
Mozilla
9
Developer
7
Network
0

Особенности:

• При наличии Transfer-Encoding: chunked заголовок Content-Length игнорируется.
• Механизм полезен для потоковой передачи данных.

3. Завершение соединением

В HTTP/1.0, если нет Content-Length и Transfer-Encoding, сервер может считать тело запроса завершённым при закрытии соединения клиентом. Однако этот метод ненадёжен и не рекомендуется.

4. Метод запроса и статус

Некоторые запросы по умолчанию не имеют тела (например, GET, HEAD, DELETE), и сервер может игнорировать Content-Length для них. Однако спецификация допускает тело для GET, но многие реализации его игнорируют.

Как это работает в Go

В стандартной библиотеке Go (net/http) длина запроса определяется автоматически при чтении тела:

package main

import (
    "fmt"
    "net/http"
)

func handler(w http.ResponseWriter, r *http.Request) {
    // Длина тела доступна через r.ContentLength
    // Но это значение может быть -1, если длина неизвестна
    fmt.Printf("Content-Length from header: %d\n", r.ContentLength)

    // Тело читается через r.Body
    body, err := io.ReadAll(r.Body)
    if err != nil {
        http.Error(w, "Bad request", http.StatusBadRequest)
        return
    }
    fmt.Printf("Actual body length: %d\n", len(body))
}

func main() {
    http.HandleFunc("/", handler)
    http.ListenAndServe(":8080", nil)
}

Критические аспекты для безопасности:

• Проверка Content-Length: Сервер должен валидировать значение, чтобы избежать переполнения буфера.
• Ограничение максимального размера: Рекомендуется устанавливать лимиты через http.MaxBytesReader.
• Обработка chunked-запросов: Необходимо контролировать общий размер, так как количество фрагментов может быть большим.

// Установка ограничения на размер тела запроса
http.MaxBytesReader(w, r.Body, 10<<20) // Ограничение 10 МБ

Проблемы и лучшие практики

1. Несовпадение длин: Если фактическая длина тела не соответствует Content-Length, сервер должен отклонить запрос.
2. HTTP/2: В HTTP/2 механизм Transfer-Encoding: chunked не используется, а длина управляется фреймами DATA.
3. Парсинг: Всегда используйте стандартные библиотеки, чтобы корректно обрабатывать граничные случаи.

Таким образом, длина HTTP-запроса определяется либо явно через Content-Length, либо динамически через Transfer-Encoding: chunked. В Go эти детали инкапсулированы в net/http, но разработчик должен учитывать ограничения и безопасность при обработке входящих запросов.