使用具有相同值的重复响应头是否合适？

Question

我发现一个响应，其中应用程序使用相同值的重复头。有谁能告诉我，这是一个好的编程实践，还是用于安全性或其他方面？

  
     HTTP/1.1 200 
     Accept-Ranges: bytes
     Cache-Control: no-cache, must-revalidate, private
     Content-Type: text/html
     Date: Mon, 20 Nov 2017 04:08:51 GMT
     Expires: 0
     Last-Modified: Thu, 16 Nov 2017 14:04:48 GMT
     Pragma: 
     Public-Key-Pins: pin-sha256="5w0XrTCAbsVO7vTngDViNHPutlvB43qYionPbpV2ky0=";  
     max-age=5184000; includeSubDomains;
     Server: Any
     Set-Cookie: ********************* httponly; secure; path=/
     Strict-Transport-Security: max-age=31536000 ; includeSubDomains
     Strict-Transport-Security: max-age=31536000; includeSubDomains
     X-Content-Type-Options: nosniff
     X-Content-Type-Options: nosniff
     X-Frame-Options: SAMEORIGIN
     X-Frame-Options: SAMEORIGIN
     X-XSS-Protection: 1; mode=block
     Content-Length: 559
     Connection: Close

此应用程序使用相同值的重复X-内容-类型-选项头、严格-传输-安全、X-框架-选项头。

Answer 1

这是编程/配置错误。RFC 7230（第3.2.2节）规定：

发件人不得在消息中生成具有相同字段名的多个报头字段，除非该报头字段的整个字段值被定义为逗号分隔的列表[，即#（值）]或者报头字段是众所周知的异常（如上所述）下面）。

因此，使用如下多个标题：

Strict-Transport-Security: max-age=31536000 ; includeSubDomains
Strict-Transport-Security: max-age=31536000; includeSubDomains

是未定义的行为。同一节说：

收件人可以将具有相同字段名的多个标题字段组合成一个“字段名：字段值”对，而不改变消息的语义，方法是将每个后续字段值按顺序附加到组合字段值，并用逗号分隔。

因此，对上述标题的一种可能的解释是：

Strict-Transport-Security: max-age=31536000 ; includeSubDomains, max-age=31536000; includeSubDomains

根据https://www.rfc-editor.org/rfc/rfc6797#section-6.1，其语法无效并且可能被拒绝（并且结果是，不应用HSTS策略）。

请注意，并非所有实现都遵循此指定行为。例如，Python http库只返回一个标题列表，在上述情况下，它可能如下所示：

[
    # ...
    ('Strict-Transport-Security', 'max-age=31536000 ; includeSubDomains'),
    ('Strict-Transport-Security', 'max-age=31536000; includeSubDomains')
    # ...
]

根据实现情况，至少有以下三种行为是可能的：

• 合并标题，用逗号分隔（由RFC 7230指定）

验证和使用之间的解释不匹配可能会导致攻击，尽管这对HSTS头来说可能不会很严重。