为什么使用setRequestHeader进行xmlhttprequest时不能设置cookie和set-cookie头？

Question

我想知道为什么不能使用setRequestHeader 设置 cookie
标头。是否有任何特定原因，或者只是它们是由浏览器本身添加的，所以这些标头被禁用了？有安全性问题吗？

- 编辑

我正在使用node.js并使用了该xmlhttprequest模块。以下是测试代码：

var xhr = new XMLHttpRequest();
xhr.open('GET', url, true);
xhr.withCredentials = true;
xhr.setRequestHeader('Cookie', "key=value");
xhr.send(null);

在这里，我需要将cookie-header设置为node.js' xmlhttprequest不显式添加cookie-
header（就像浏览器那样）。尝试这样做时，显示xmlhttprequest错误“ Refused to set unsafe header”。

虽然我找到了补丁程序并成功发送了cookie标头。但是想知道为什么为什么不能设置cookie-
header吗？无论我在哪里阅读，都发现数据完整性和安全性是必需的，但是在这种情况下可以破坏的安全性在任何地方都没有提及。我想评估一下此数据完整性问题是否对node.js应用程序有效，如果我随补丁一起安装的话。

Answer 1

我相信您会通过工作草案并找到

上述标头由用户代理控制，以使其控制传输的那些方面。

首先，我们需要了解，这些标准是不同浏览器之间功能互操作性的准则。浏览器没有强制使用它，因此，出于不同的原因，浏览器确实对此标准具有不同的遵守级别。

其次，从技术上讲，您可以模拟用户代理，将您的程序视为浏览器，并可以按照提到的标准很好地设置这些值。

最后，意图禁止头的覆盖或像某些领域设立头Content-Length，Cookie风气的secure design approach。这是为了阻止或至少试图阻止
HTTP请求走私。