标签: http-headers

我想对运行在 RHEL 5.8 上的 Apache 2.2.3 服务器上的所有 HTTP 请求强制保持活动或持久连接。许多网络爬虫出于某种原因使用 HTTP 1.0，我想要么强制持久连接，要么以某种方式强制这些连接使用 HTTP 1.1，以便 Apache 配置中的 Keep Alive On 设置将导致持久 HTTP。这是因为我想减少打开的 TCP 连接的数量。我怎样才能做到这一点？

我得到了以下设置：

Internet => nginx[public:80 +443, SSL termination)
=> Varnish[localhost:81] => Apache[localhost:82]

现在，某些站点只能通过 HTTPS 和有效的 SSL 证书访问。对于这几个例外，我想在 nginx（首选，或在 Apache）上激活 HSTS。

问题：

• 在 nginx 上，我需要一些逻辑 à la if Host = foo.tldthen set Strict-Transport-Security xxx，但根据http://wiki.nginx.org/IfIsEvil不应该if在location
• 在 Apache 上，我需要类似的东西if X-Forwarded-Proto 443 set Strict-Transport-Security xxx，但我似乎无法使用SetEnvIf(Apache 2.2)构建它

我的逻辑有问题吗？另一种方法的想法？

这是当前活动的配置：

nginx

服务器 {
        server_tokens 关闭；

        听 xx.xx.xxx.xxx:80;
        server_name 本地主机；

        地点 / {
                proxy_pass http://127.0.0.1:81;
                proxy_set_header X-Real-IP $remote_addr;
                proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
                proxy_set_header X-Forwarded-Proto $scheme;
                proxy_set_header X-Forwarded-Port 80; …

我目前正在尝试改进我的 HAProxy HTTPS 配置。似乎有两种方法可以在 HAProxy 中为响应标头设置附加字段。我目前使用http-response set-header，如果我理解正确，应该：

1. 检查字段是否存在
2. 如果存在，删除它
3. 将字段设置为新值

有些人rspadd改为使用，它应该简单地将字段附加到响应标头的末尾。

在处理 HSTS 等敏感领域时，set-header在纸上感觉更安全。两者之间有什么真正的区别吗？如果是，在我的标题中设置敏感字段时我应该更喜欢哪一个？

我有一个 Haproxy 实例，它Host使用http-request set-header.

http-request set-header Host internal.example

但是，我仍然希望后端能够访问原始Host标头。我认为这X-Forwarded-Host是一个很好的候选人，但是我正在努力弄清楚如何做到这一点。

我正在使用这个，它有效：

capture request header Host len 64
http-request set-header X-Forwarded-Host %hrl

但当然，这是一个巨大的黑客 - 不能超过 64 个字符，如果我需要捕获另一个标题，它将无法工作。

有没有更好的办法？

我有一个虚拟主机，有多个域名链接到它。当向一个特定域名发出请求时，我尝试发送额外的标头。

这就是我正在做的事情（在虚拟主机和 .htaccess 中都尝试过，结果是相同的）

SetEnvIf HOST thishost THETAG=noindex
Header set X-Robots-Tag "%{THETAG}e" env=THETAG
Header set X-Robots-Test "Yes"

所以基本上，X-Robots-Test 标头应该始终存在。X-Robots-Tag 仅应在设置了 THETAG 标头后才出现，而该标头仅在主机标头包含“thishost”时才设置。

RewriteRule 看起来像这样，所以基本上是从 page1 到 page2 的 301 重定向

RewriteRule page1 page2 [L,R=301]

当向 page2 发出请求时，标头会正确显示，但当向 page1 发出请求（并由 mod_rewrite 重定向）时，标头不存在（甚至不存在测试标头）。

当从 PHP 脚本而不是 mod_rewrite 启动重定向时，它确实显示标头，因此我认为问题是 mod_rewrite 优先于 mod_headers。有没有什么办法解决这一问题？

我有一台运行 Apache + PHP-FPM + FastCGI 的 Ubuntu 14.04 服务器，为用户主页提供服务。为了安全起见，我在 Apache 的配置中启用了：

Header set X-Content-Type-Options: "nosniff"
Header set X-Frame-Options: "sameorigin"
Header set X-XSS-Protection: "1; mode=block"

AllowOverride FileInfo已设置，因此用户可以Header在.htaccess需要时使用文件中的指令进行更多控制。但是，Apache 似乎不尊重在 CGI 中使用 PHP 时（当文件为 PHP 时 mod_headers 不发送标头），并且即使使用Header always，.htaccess HeaderPHP 文件的命令也会被忽略。

我的下一个想法是让用户修改他们的 PHP 代码以使用PHPheader函数，以便他们可以将其设置为 X，并且setifempty只有在用户没有时我才能使用它。经过一些试验，我发现这些条目有效：

Header set X-Frame-Options: "sameorigin" env=!SCRIPT_NAME
Header always setifempty X-Frame-Options: "sameorigin" env=SCRIPT_NAME

在没有env测试的情况下，我发现第一个命令，即使是setifempty, or merge，也会添加一个标题，因此您会X-Frame-Options …

我在我的网站上使用带有此标头的 HSTS：

 Strict-Transport-Security: max-age=15768000; includeSubDomains

这按预期工作并强制浏览器将所有 http 连接重定向到 https。

在https://www.rfc-editor.org/rfc/rfc6797#section-6.1.2的文档中，我没有找到排除指定子域的方法！

我已经尝试添加max-age=0子域，但它不会覆盖includeSubDomains

是否可以从includeSubDomains规则中排除子域？或者是删除此规则并仅对某些网站使用 HSTS 标头的唯一方法？PS：我的网络服务器是 NGINX，我使用 Firefox 和 Chrome 测试了该行为。

我目前正在尝试使用反向/转发代理将授权标头传递给目标服务器。我该怎么做呢？我已经查看了以下来源，其中一条评论指出这仅适用于 Proxy-Auth 标头。但是，代理没有身份验证后端。它看起来像下面

用户 -> 代理（无 Auth Req） -> 后端（HTTP AUTH HERE）

/sf/ask/434911991/

我在负载平衡器后面有一组 linux apache 1.3 服务器，我希望能够一目了然地确定我正在访问哪个服务器。负载平衡器的监控能力受到严重限制，所以我想做的是配置 apache 以发送一个额外的标头，指示机器的主机名。

我知道我可以使用主机名将标头硬编码到 httpd.conf 中：

Header set X-Which-Host-Am-I 'host1'

但是，所有有问题的服务器都使用 rsync 进行了镜像，包括配置，因此对主机名进行硬编码已经过时了。有没有办法可以调用hostname命令并将其转储到标题中？

说明：由于多个虚拟主机位于这些服务器上，我需要物理机的主机名，而不是请求中的域名。

默认情况下，Tomcat 似乎为每个响应发送一个 ETag 标头。由于此处概述的原因，我想禁用这些。我知道我可以在我的 Apache 配置中删除它们，但是有什么方法可以在 Tomcat 端禁用它们吗？