http - HTTP Content-Length Header 是否值得信任？

Question

信任 Content-Length HTTP header 是否安全？根据MDN docs它是一个 Forbidden header name。如果我去that page它说了以下内容。

Modifying such headers is forbidden because the user agent retains full control over them.

但是，如果您控制了用户代理，是否仍然有办法伪造这些值？

我只是想弄清楚信任 Forbidden header name 上的那些 header 有多安全页面以及它们是否能够被欺骗。

Answer 1

鉴于您描述的情况，是的，客户端可能会设置不正确的 Content-Length。不能保证它是正确的。

如果 Content-Length 太大，服务器可能会等待并超时以获取剩余数据。如果它太小，服务器可能会在整个主体进入之前切断 TCP 连接，或者在 Connection: Keep-Alive 的情况下，服务器可能会假设客户端启动了另一个 HTTP 请求，变得困惑和发送错误的请求响应。