CORS-safelisted request header

Ein CORS-safelisted request header (auch als "einfacher Header" bekannt) ist einer der folgenden HTTP-Header:

Enthält eine Anfrage nur diese Header (und Werte, die die unten angeführten zusätzlichen Anforderungen erfüllen), muss im Kontext von CORS keine Preflight-Anfrage gesendet werden.

Sie können mehr Header auf die Safelist setzen, indem Sie den Header Access-Control-Allow-Headers verwenden und auch die oben genannten Header dort auflisten, um die folgenden zusätzlichen Einschränkungen zu umgehen.

Zusätzliche Einschränkungen

CORS-safelisted Header müssen auch die folgenden Anforderungen erfüllen, um ein CORS-safelisted Request Header zu sein:

  • Accept-Language und Content-Language dürfen nur Werte aus 0-9, A-Z, a-z, Leerzeichen oder *,-.;= enthalten.
  • Accept und Content-Type dürfen keine CORS-unsicheren Request-Header-Bytes enthalten: 0x00-0x1F (ausgenommen 0x09 (HT), das erlaubt ist), "():<>?@[\]{}, und 0x7F (DEL).
  • Content-Type muss einen MIME-Typ aus seinem analysierten Wert (ohne Parameter zu berücksichtigen) entweder application/x-www-form-urlencoded, multipart/form-data oder text/plain haben.
  • Range muss einen Wert eines einzelnen Bytebereichs in der Form bytes=[0-9]+-[0-9]* haben. Siehe die Dokumentation zum Range-Header für weitere Details.
  • Für jeden Header: die Länge des Wertes darf nicht größer als 128 sein.

Siehe auch