为什么在使用SetRequestHeader制作xmlhttprequest时不能设置cookie和set-cookie头？

Question

var xhr = new XMLHttpRequest();
xhr.open('GET', url, true);
xhr.withCredentials = true;
xhr.setRequestHeader('Cookie', "key=value");
xhr.send(null);

这里，我需要将cookie-header设置为node.js的XMLHttpRequest不显式地添加cookie-header（像浏览器那样）。尝试这样做时，XMLHttpRequest会给出错误“拒绝设置不安全头”。

虽然我已经找到了一个补丁，并成功地发送了cookie-header。但想知道为什么设置cookie-header被禁用了？我曾经读过，发现它是数据完整性和安全性所必需的，但在这种情况下，什么安全性可以被破坏，没有提到哪里。我想评估一下，如果我使用补丁，这个数据完整性问题对Node.js应用程序是否有效。

Answer 1

我相信你会看过工作草案并发现

上述报头由用户代理控制，以使其能够控制传输的这些方面。

首先，我们需要了解，这些标准是作为不同浏览器之间功能互操作性的指导方针而工作的。它不是针对浏览器的，因此浏览器出于不同的原因对该标准有不同的遵守程度。