HTTP 头字段

通过 WWW-Authenticate 在 401 响应中要求客户端提供凭据。支持 Basic、Bearer、Digest 等认证方案。

通过 Authorization 头发送凭据。支持 Basic、Bearer、Digest 等方案，含语法说明与安全建议。

通过 407 响应要求客户端提供代理凭据。支持多种认证方案，含语法与代理链示例。

在收到 407 质询后，通过 Proxy-Authorization 头向代理服务器发送凭据。含认证方案、语法与链式行为。

通过 Age 头衡量缓存新鲜度，表示 CDN 和代理报告的自源服务器响应以来经过的时间。

通过 Cache-Control 指令控制浏览器和 CDN 缓存。含语法、实际示例与最佳实践。

Expires 头通过时间戳指定缓存过期时间。了解 Expires 与 Cache-Control 的交互及各自适用场景。

通过 Clear-Site-Data 清除浏览器缓存、Cookie 和存储。适用于登出流程，含指令说明与部署模式。

Last-Modified 头用于基于日期的缓存验证。服务器通过此头报告资源最后修改时间，支持条件请求工作流。

ETag 标识符用于缓存验证和并发控制。区分强 ETag 与弱 ETag，含语法与条件请求模式。

If-Match 头通过 ETag 进行条件请求，在 PUT/DELETE 中实现乐观并发控制，防止丢失更新。

If-None-Match 通过 ETag 验证缓存资源是否仍然有效，支持缓存重验证和条件请求防止覆盖。

If-Modified-Since 通过日期实现 GET/HEAD 请求的缓存重验证，配合 304 响应减少带宽消耗。

If-Unmodified-Since 通过日期条件防止丢失更新，保护 PUT/DELETE 操作免受并发修改影响。

Vary 头告知缓存哪些请求头影响响应内容，确保缓存存储和返回正确的变体表示。

Accept 头用于协商响应的媒体类型。支持质量值和通配符，含内容协商流程与示例。

Accept-Encoding 用于协商压缩算法。支持 gzip、deflate、br 等，含质量值语法与服务端实现。

Accept-Language 用于协商内容语言。支持 BCP 47 语言标签和质量值，含服务端处理与示例。

Accept-Charset 已废弃，UTF-8 取代了字符集协商。了解其历史背景、语法及迁移建议。

Content-Type 声明消息体的媒体类型。含 MIME 类型、charset 参数、内容协商及 MIME 嗅探风险。

Content-Length 声明消息体的字节大小。用于字节计数、连接复用和进度指示，含常见陷阱。

Content-Encoding 标识响应的压缩方式。支持 gzip、br、zstd 等算法，含服务端配置与解码说明。

Content-Language 声明目标受众的语言。含语言标签、内容协商与多语言站点配置。

Content-Location 指向协商后的资源表示。与 Location 的区别及对缓存的影响，含示例。

Content-Disposition 触发文件下载或内联显示。支持 attachment 指令、文件名编码和表单数据。

Content-Range 用于返回部分内容。支持字节范围语法、断点续传、媒体流和 206 响应流程。

Cookie 头将存储的 Cookie 发送到服务器。含名称-值对、会话管理与安全规则。

Set-Cookie 管理 HTTP Cookie。可配置安全属性、作用域、过期时间、SameSite 策略和跨站行为。

Access-Control-Allow-Origin 控制跨域访问。支持通配符和动态来源，含 CORS 错误排查。

Access-Control-Allow-Methods 在 CORS 预检中允许的 HTTP 方法。含语法、通配符规则与服务端配置。

Access-Control-Allow-Headers 在 CORS 请求中允许自定义头。含预检配置、通配符与示例。

Access-Control-Allow-Credentials 允许 CORS 请求携带 Cookie 和凭据。含配置方法、常见陷阱与修复。

Origin 头标识 CORS 请求的来源。含语法、浏览器行为与服务端验证逻辑。

Accept-Ranges 启用断点续传。支持部分请求、字节服务、流式传输，含服务端配置。

Range 头请求服务器返回部分内容。支持字节范围语法、多部分响应、断点续传和流式示例。

If-Range 使范围请求变为条件式，安全地实现断点续传。获取部分内容或完整资源，避免 412 错误。

Location 头驱动 HTTP 重定向并标识新创建的资源。含语法、重定向类型与示例。

Retry-After 告知客户端在 429/503 响应后何时重试。支持秒数和 HTTP 日期格式，含爬虫处理建议。

Host 头是 HTTP/1.1 的必填头。了解虚拟主机工作原理、语法规则及服务器域名解析。

User-Agent 标识客户端软件。含产品令牌解析、UA 精简趋势及爬虫检测策略。

Referer 头标识请求的来源页面。用于统计分析和访问控制，含隐私风险与 Referrer-Policy 交互。

Referrer-Policy 控制浏览器发送的来源信息。含指令选项、隐私影响与部署示例。

Allow 头声明服务器支持的 HTTP 方法。405 响应中必含此头，也用于 OPTIONS 请求处理。

Date 头由源服务器添加时间戳。在缓存新鲜度计算和代理行为中起关键作用。

Server 头标识服务器软件。含产品令牌语法、版本暴露的安全风险与最佳实践。

Strict-Transport-Security 强制 HTTPS 连接（HSTS）。可配置 max-age、includeSubDomains、preload，防止降级攻击。

Content-Security-Policy 防止 XSS 和注入攻击。含指令、来源列表、nonce 和部署策略。

X-Content-Type-Options: nosniff 防止 MIME 嗅探攻击，强制浏览器遵循声明的 Content-Type。

X-Frame-Options 防止点击劫持。通过 DENY/SAMEORIGIN 控制框架嵌入，也可使用 CSP frame-ancestors 替代。

Permissions-Policy 控制网站和嵌入 iframe 可访问的浏览器功能。含指令、白名单与示例。

Transfer-Encoding 对消息体进行传输编码。支持分块编码、逐跳语义和流式响应。

TE 头声明传输编码偏好。用于协商分块尾部和压缩方式。

Connection 头管理 TCP 连接生命周期。支持 keep-alive/close、逐跳行为，含 HTTP/2 的变化。

Upgrade 头在现有连接上切换协议。支持 WebSocket、HTTP/2 和 TLS 升级协商。