在开发过程中，我们经常遇到因请求头格式错误导致的请求解析失败问题。最常见的是开发者无意中使用中文冒号或全角空格作为分隔符，导致服务器无法正确解析请求头，最终返回400错误。这种看似微小的格式差异，在实际应用中可能引发大量难以排查的问题，特别是在与第三方API对接或处理用户提交的自定义请求头时。
请求头的基本结构
HTTP请求头由名称、冒号和值三部分组成，遵循严格的格式规范。名称部分大小写不敏感，例如Content-Type、content-type和CONTENT-TYPE在服务器看来是等价的。值部分可以是单个token、带引号的字符串、逗号分隔的列表或带参数的结构，如text/html;q=0.9。最关键的是名称与值之间的冒号必须是英文半角冒号，值前的空格会被自动忽略，因此Name:value和Name: value在服务器解析时是等价的。
一个常见的错误是使用中文冒号「：」或全角空格。例如，当开发者从某些文本编辑器复制粘贴内容时，可能会引入这些不可见的特殊字符。服务器遇到这种情况时，通常会直接将整个请求头标记为无效并忽略，而不会返回明确的错误信息，导致问题难以排查。正确的做法是确保所有请求头都使用标准格式，名称后紧跟英文冒号，然后是可选的空格和值。
请求头的分类与处理方式
根据RFC 9110规范，请求头分为端到端头和逐跳头两大类，这一分类直接影响代理服务器的处理方式。端到端头面向最终接收方，代理必须原样转发，如Accept、Authorization、Content-Type等。逐跳头则只对单次连接有效，代理在转发前必须移除，不得继续传递。规范定义的逐跳头包括Connection、Keep-Alive、Proxy-Authenticate、Proxy-Authorization、TE、Trailer、Transfer-Encoding和Upgrade。
在实际应用中，这一分类对反向代理配置至关重要。例如，Nginx配置中的proxy_set_header Connection ""指令就是在清理逐跳头，避免它们被错误地传递给上游服务器。如果将逐跳头当作端到端头处理，可能会导致连接异常或数据解析错误。开发者在配置代理时，必须明确区分这两类请求头，确保代理行为符合规范要求。
安全考虑与常见陷阱
请求头安全是web开发中不可忽视的重要方面。以X-Forwarded-For为例，这个头用于记录请求链路上的IP地址，格式如X-Forwarded-For: 203.0.113.195, 70.41.3.18, 150.172.238.178，从左到右依次经过原始客户端、一级代理和二级代理。然而，这个头可以被客户端随意伪造，攻击者可以通过发送X-Forwarded-For: 1.2.3.4来误导服务器。
正确的处理方式是：入口代理必须无条件覆盖而非追加该头，确保最右侧始终是可信值；后端取值时从右向左跳过已知的可信代理IP。如果直接使用X-Forwarded-For的第一个值作为客户端IP用于风控或限流，相当于将控制权交给了攻击者。对于由CDN或负载均衡器覆盖写入的头，如CF-Connecting-IP，只有在明确限定只接受来自这些可信入口的请求时，才能信任其中的值。
实际开发中的规范建议
在实际开发中，遵循请求头规范可以避免许多潜在问题。首先，自定义请求头不应过度使用X-前缀，虽然这是历史惯例，但RFC 6648早在2012年就建议不再使用该前缀，因为它并不能真正表示"实验性"。新增的自定义请求头应使用有意义的业务名称，如Idempotency-Key，并做好命名空间区分。
其次，处理同名请求头时需特别注意。大多数情况下，多个相同名称的请求头应合并为逗号分隔的列表，但Set-Cookie是明确的例外——它必须分行传输，不能合并，否则无法区分不同的Cookie属性。此外，在解析Cookie请求头时，需注意值中的分号必须进行百分号编码，而等号则可以作为值的一部分，因为只有第一个等号是名称与值的分隔符。
规范检查清单
为确保请求头格式正确，建议遵循以下检查清单：
- 使用英文半角冒号分隔名称和值，避免使用中文冒号或全角空格
- 请求头名称使用标准格式，如
Content-Type而非content-type，确保大小写一致性 - 自定义请求头使用有意义的业务名称而非
X-前缀 - 处理
X-Forwarded-For时，确保入口代理覆盖而非追加该头，后端从右向左取可信IP - 避免同时设置
Content-Length和Transfer-Encoding: chunked，两者互斥 - 注意
Referer的标准拼写（少一个r），避免写成Referrer - 处理同名请求头时，确保
Set-Cookie分行传输，其他头合并为逗号分隔列表 - 检查Cookie值中的特殊字符，分号需编码，等号可作为值的一部分
- 限制请求头总大小，避免无限追加可能导致的大小溢出问题
- 对
Sec-Fetch-*系列请求头给予适当信任，它们由浏览器强制写入，难以伪造
遵循这些规范可以显著提高请求处理的可靠性，减少因格式问题导致的解析失败和安全漏洞。