HTTP Access-Control-Request-Headers Header

Der HTTP-Header Access-Control-Request-Headers ist ein Request-Header, den der Browser automatisch in Preflight-Requests sendet. Er teilt dem Server mit, welche HTTP-Header im tatsächlichen Cross-Origin-Request verwendet werden sollen.

Typ

Request-Header

Syntax

Der Header listet die geplanten Request-Header als kommaseparierte Liste auf.

http 
Access-Control-Request-Headers: Authorization, Content-Type
Access-Control-Request-Headers: X-API-Key, X-Client-Version

Direktiven

Die Direktiven informieren den Server über die geplanten Request-Header.

<header-name>
Name eines HTTP-Headers der im Actual Request gesendet werden soll. Case-insensitive, mehrere Werte kommasepariert.

Beispiele

Nachfolgend finden Sie praktische Anwendungsbeispiele für den Access-Control-Request-Headers-Header.

Beispiel 1 Authorization Header anfragen

http 
Access-Control-Request-Method: POST
Access-Control-Request-Headers: Authorization, Content-Type

Browser fragt an, ob Authorization-Header im POST-Request erlaubt ist. Server antwortet mit Access-Control-Allow-Headers.

Beispiel 2 Custom API-Key Header

http 
Access-Control-Request-Method: GET
Access-Control-Request-Headers: X-API-Key, Accept

Preflight prüft, ob proprietärer API-Key-Header akzeptiert wird bevor Actual Request erfolgt.

Beispiel 3 Mehrere Custom Headers

http 
Access-Control-Request-Method: POST
Access-Control-Request-Headers: X-Request-Id, X-Correlation-Id, Content-Type, Authorization

Complex Request mit mehreren Custom und Standard-Headers erfordert Preflight-Validierung.

CORS Preflight Request Headers Flow

CORS Preflight mit Request-Headers Validierung

Vorteile für die Systemarchitektur

  • Transparente Header-Validierung: Server kann vor Actual Request entscheiden welche Header erlaubt sind
  • Sicherheits-Layer: Verhindert ungewollte Custom Headers durch Preflight-Check
  • Automatisches Browser-Handling: Entwickler müssen Preflight nicht manuell implementieren

Spezifikation

Fetch Standard – CORS Protocol and HTTP-Access-Control-Request-Headers https://fetch.spec.whatwg.org/#http-access-control-request-headers

Weitere Spezifikationen

Access-Control-Allow-Headers Header, OPTIONS Method