Der HTTP-Origin-Anforderungsheader gibt denUrsprung (Schema, Hostname und Port) an, der die Anforderungverursacht hat. Wenn ein Benutzeragent Ressourcen anfordern muss, die in eine Seite eingebunden sind oder von Skripten, die er ausführt, abgerufen werden, kann der Ursprung der Seite in die Anforderung aufgenommen werden.

Syntax

Origin: nullOrigin: <scheme>://<hostname>Origin: <scheme>://<hostname>:<port>

Direktiven

null

Der Ursprung ist "datenschutzempfindlich" oder ist einnicht transparenter Ursprung (spezifische Fälle sind im AbschnittBeschreibung aufgeführt).

<scheme>

Das verwendete Protokoll.In der Regel handelt es sich um das HTTP-Protokoll oder seine gesicherte Version HTTPS.

<hostname>

Der Domainname oder die IP-Adresse des Ursprungsservers.

<port>Optional

Portnummer, auf der der Server lauscht.Wenn kein Port angegeben ist, wird der Standardport für den angeforderten Dienst aus dem Schema impliziert (z.B.80 für eine HTTP-URL).

Beschreibung

DerOrigin-Header ähnelt demReferer-Header, gibt jedoch nicht den Pfad preis und kannnull sein. Er wird verwendet, um den Sicherheitskontext für die Ursprungsanforderung bereitzustellen, außer in Fällen, in denen die Ursprungsinformation sensibel oder unnötig wäre.

Generell fügen Benutzeragenten denOrigin-Anforderungsheader hinzu bei:

• Cross-Origin-Anforderungen.
• Same-Origin-Anforderungen, außer beiGET- oderHEAD-Anforderungen (d.h. sie werden bei Same-Origin-POST,OPTIONS,PUT,PATCH- undDELETE-Anforderungen hinzugefügt).

Es gibt einige Ausnahmen von den obigen Regeln; beispielsweise wird derOrigin-Header nicht hinzugefügt, wenn eine Cross-Origin-GET- oderHEAD-Anforderung imno-cors-Modus durchgeführt wird.

DerOrigin-Header-Wert kann in mehreren Fällennull sein, einschließlich (nicht erschöpfend):

• Ursprünge, derenSchema nichthttp,https,ftp,ws,wss odergopher ist (einschließlichblob,file unddata).
• Cross-Origin-Bilder und Mediendaten, einschließlich der in<img>,<video> und<audio>-Elementen.
• Dokumente, die programmgesteuert mitcreateDocument() erstellt wurden, aus einerdata:-URL generiert oder die keinen erstellenden Browsing-Kontext haben.
• Weiterleitungen über Ursprünge hinweg.
• Dokumente, die mit derContent-Security-Policy-Richtliniesandbox bedient werden und deren Wertallow-same-origin nicht enthält.
• iframes mit einem Sandbox-Attribut, dessen Wertallow-same-origin nicht enthält.
• Antworten, die Netzwerkfehler sind.
• Referrer-Policy-Richtlinie aufno-referrer gesetzt für nicht-cors-Anforderungsmodi (z.B. einfache Formularübertragungen).

Beispiele

Origin: https://developer.mozilla.org

Origin: https://developer.mozilla.org:80

Spezifikationen

Browser-Kompatibilität

Siehe auch

• Host
• Referer
• Same-Origin-Policy
• When do browsers send the Origin header? When do browsers set the origin to null? (Stack Overflow)