Все ли HTTP заголовки можно изменять на уровне кода?

Question

[luckyredhot]

Уважаемые хабровчане!

Возник практический вопрос — абсолютно ли все заголовки HTTP 1.1 возможно изменять на уровне кода (PHP: header), или есть такие, которые отдаются только сервером? Если да, то какие из них.

Заранее благодарен за ваши ответы!

P.S. Уважаемые минусующие и сливающие карму, укажите, пожалуйста, причину минусования и слива :) Спасибо! ;)

Answer 1

[EugeneOZ]

В ответе — все. Некоторые может переопределить или добавить сам PHP, некоторые — сервер (смотрите настройки).
В запросе — те заголовки, что пришли от юзера, в массиве $_SERVER помечены префиксом HTTP_ (им нельзя доверять, как, например, REMOTE_ADDR).

Answer 2

[Алексей Акулович]

Зависит от реализации SAPI, т.к. вызов header() в итоге приводит к вызову SAPI функции header_handler. В самом PHP ничего такого особого нет с фильтрацией (тут, тут и тут).

Да и никто не мешает frontend'у перед php влиять на заголовки. Например в nginx.

Comments

[luckyredhot]

Звучит разумно, спасибо!

Но суть в пороса была не в том «кто может» а в том «какие заловоки недоступны для изменения через приложения». Но судя по всему, как и сказано выше, менять практически воможно всем и всё.

Есть стандарт RFC2616 но в нём везде «SHOULD» и «MAY». Соответственно, только рекомендации. Никаких же технических ограничений нету.

[VBart]

SHOULD — это не рекомендация.

[luckyredhot]

SHOULD — это именно рекомендация. MUST- требование. См. Should vs Must.
А также, для сравнения: http://www.openspf.org/RFC_4408#rr-types

An SPF-compliant domain name SHOULD have SPF records of both RR types. A compliant domain name MUST have a record of at least one type.

Answer 3

[Voffko]

на сколько я помню, все заголовки под контролем программиста.