Как разделять значения заголовков?

Question

Я разбираю заголовки HTTP. Я хочу разбить значения заголовков на массивы, где это имеет смысл.

Например, Cache-Control: no-cache, no-store должен вернуть ['no-cache','no-store'].

HTTP RFC2616 говорит:

Несколько полей заголовка с тем же имя поля может присутствовать в сообщении, если и только если все значения поля для этого поля заголовка определяется как список, разделенный запятыми [т.е., # (значения)]. Можно объединить несколько полей заголовка в одну строку «field-name: field-value» , не меняя семантики сообщения , добавив каждое последующее значение поля к первому, каждый , разделенный символом « », каждый из которых равен . запятая. Порядок, в котором получены поля заголовка с тем же имя поля имеет значение для интерпретации значения комбинированного поля, и, таким образом, прокси-сервер НЕ ДОЛЖЕН изменять порядок этих значений полей, когда сообщение пересылается

Но я не уверен, верно ли обратное - безопасно ли оно split по запятой?

Я уже нашел один пример, где это вызывает проблемы. Моя строка User-Agent, например,

Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36 (KHTML, like Gecko) Chrome/41.0.2272.101 Safari/537.36 

, т.е. он содержит запятую после "KHTML". Очевидно, что у меня не более одного пользовательского агента, поэтому разделить этот заголовок не имеет смысла.

Является ли строка User-Agent единственным исключением, или есть еще?

Answer 1

Нет, это не безопасно разделять заголовки на основе запятых. В качестве примера Accept: foo/bar;p="A,B,C", bob/dole;x="apples,oranges" является допустимым заголовком, но если вы попытаетесь разделить запятую с целью получения списка типов mime, вы получите недопустимые результаты.

Правильный ответ заключается в том, что каждый заголовок указан с использованием ABNF, большинство из них в различных RFC, например. Accept: является defined in RFC7231 Section 5.3.2.

У меня была эта специфическая проблема и wrote a parser и tested it on edge cases. Не только parsing the header non-trivial, интерпретируя его и давая correct result is also non-trivial.

Некоторые заголовки более сложны, чем другие, но по существу у каждого заголовка есть своя грамматика, которая должна соблюдаться для правильной (и безопасной) обработки.

Answer 2

, если все поле значение для этого поля заголовка определен как разделенный запятыми список [то есть, # (значения)]

Так что это наоборот. Вы можете только предположить, что Field: value1, value2 эквивалентен Field: value1 + Field: value2, когда спецификации говорят, что Field поддерживает #(value), то есть список значений, разделенных запятыми.

Answer 3

Читая спецификации, я пришел к выводу, что следующие заголовки поддерживают несколько (через запятую) значения:

• Accept
• Accept-Charset
• Accept-Encoding
• Accept-Language
• Приемо-патч
• Диапазон принимающих
• Разрешить
• Cache-Control
• Подключение
• Content-Encoding
• Content-Language
• Ожидать
• If-Match
• If-None-Match
• Pragma
• Proxy -Аутентификация
• TE
• Прицеп
• Transfer-Encoding
• Upgrade
• Варах
• Via
• Предупреждение
• WWW-Authenticate
• X-Forwarded-For

Вы можете использовать это создать белый список расщепляемых заголовков.