Skip to main content
2 / 2
Commonmark migration

forbidden header name に記載されているヘッダは、ブラウザが自動的に追加するものであり、 JavaScript から制御することは出来ません。そして、たとえ forbidden header がヘッダに含まれていたとしても、それはシンプルリクエストになり得ます。

HTTP header layer division[1]

For the purposes of fetching, there is an API layer (HTML’s img, CSS' background-image), early fetch layer, service worker layer, and network & cache layer. Accept and Accept-Language are set in the early fetch layer (typically by the user agent). Most other headers controlled by the user agent, such as Accept-Encoding, Host, and Referer, are set in the network & cache layer. Developers can set headers either at the API layer or in the service worker layer (typically through a Request object). Developers have almost no control over forbidden headers, but can control Accept and have the means to constrain and omit Referer for instance.


§ 2.2.2. Headers[2]

These are forbidden so the user agent remains in full control over them. Names starting with Sec- are reserved to allow new headers to be minted that are safe from APIs using fetch that allow control over headers by developers, such as XMLHttpRequest. [XHR]

たとえば、 Origin ヘッダは forbidden header ですが、 CORS リクエストには必ず含まれるものです。このことからも、「forbidden header に記載があるヘッダはシンプルリクエストのヘッダに含めてはならない」という主張が成り立たないとわかります。

§ 3.2.2. HTTP requests[3]

A CORS request is an HTTP request that includes an Origin header. It cannot be reliably identified as participating in the CORS protocol as the Origin header is also included for all requests whose method is neither GET nor HEAD.

また、 Cookie ヘッダについても、一度 Set-Cookie ヘッダにより Cookie が設定されていれば、シンプルリクエストの送信前にブラウザによって自動的に付与されます。

よって、シンプルリクエストとしての条件を満たしていれば、それはシンプルリクエストになります。

supa
  • 5,399
  • 4
  • 18
  • 41