Go HTTP 请求头原样保留原始字节，不自动转义或校验，需手动过滤控制字符和非法UTF-8，避免注入、XSS等风险。
Go HTTP 处理请求头时，特殊字符不会自动转义
Go 的 net/http 包在读取请求头（r.Header）时，**原样保留原始字节**，不做任何 URL 解码、HTML 转义或空格规范化。比如客户端发来 User-Agent: Mozilla/5.0 (X11; Linux x86_64) AppleWebKit/537.36，其中括号、斜杠、分号都直接存为字符串，http.Request 不会帮你解码 %20 或过滤 \x00。
这意味着：如果你后续把请求头值直接拼进 SQL、日志、HTML 响应或系统命令里，就可能触发注入、日志污染、XSS 或 panic。
- 常见错误现象：
log.Printf("User-Agent: %s", r.Header.Get("User-Agent"))导致日志被控制字符截断或伪造换行 - 真实场景：前端用
fetch发送带\r\n的自定义头X-Trace-ID: abc\r\nSet-Cookie: fake=1，服务端未校验就透传给下游，引发响应头污染 - 注意：
r.Header是map[string][]string，同一个 key 可能有多个值，需遍历处理，不能只取.Get()
手动过滤控制字符和非法 UTF-8 字节
HTTP 头字段值在 RFC 7230 中定义为 field-content = field-vchar [ 1*( SP / HTAB ) field-vchar ]，即只允许可见 ASCII（0x21–0x7E）、空格、制表符，且不能以空格/制表符开头或结尾。Go 不校验这点，得自己做。
推荐用白名单方式清理，而不是黑名单替换——因为攻击者总能绕过“过滤 ”这种简单逻辑。
立即学习“go语言免费学习笔记（深入）”；
- 用
strings.Map或bytes.Map遍历每个 rune，只保留0x20 ，其余映射为 -1（删除） - 对每个 header value 先用
utf8.ValidString()检查，无效则跳过或替换为"??"，避免后续json.Marshalpanic - 特别注意
Cookie和Authorization头：它们含 Base64 或二进制 token，不应被字符级过滤，应单独跳过或走专用解析逻辑
// 示例：安全提取并清洗 User-Agent
func safeHeader(r *http.Request, key string) string {
vals := r.Header.Values(key)
if len(vals) == 0 {
return ""
}
// 取第一个值（RFC 允许多值，但多数场景只关心首个）
s := vals[0]
// 过滤非法字符，保留可打印 ASCII + 空格/制表
cleaned := strings.Map(func(r rune) rune {
if (r >= 0x20 && r <= 0x7E) || r == '\t' || r == ' ' {
return r
}
return -1
}, s)
// 去首尾空白（HTTP 头规范要求 trim，但客户端未必守规矩）
return strings.TrimSpace(cleaned)
}
避免在中间件中误改标准头导致协议违规
有些框架（如 Gin、Echo）的中间件会在 Next() 前修改 r.Header，比如加 X-Request-ID 或重写 Host。但若你在这个阶段对 Accept、Content-Type 等标准头做了不合规的修改（例如插入空格、删掉 ;），可能导致下游解析失败或 MIME 类型误判。
- 不要用
r.Header.Set("Accept", strings.ReplaceAll(v, "\n", ""))这类粗暴操作——Accept是逗号分隔的 MIME 类型列表，含参数如application/json; charset=utf-8，删掉分号就毁了语义 - 标准头建议只做「读取+清洗」，不「写入+重写」；如需注入新头，请用
w.Header().Set()，而非动r.Header - 调试时用
fmt.Printf("Raw header: %q\n", r.Header["Accept"])查看原始字节，比fmt.Println(r.Header.Get("Accept"))更可靠（后者会合并多值并丢掉原始分隔）
日志与审计场景下，必须区分原始头与清洗后头
安全审计要求留存原始请求头用于溯源，但业务逻辑又需要干净数据。两者不能混用，也不能只留一份。
- 生产日志中记录清洗后的头（如
safeHeader(r, "User-Agent")），防止日志系统被控制字符干扰 - 同时在独立审计通道（如 Kafka topic 或专用 audit log file）中，用
hex.Dump([]byte(r.Header.Get("User-Agent")))记录原始字节，保留所有不可见字符 - 别依赖
http.DumpRequest做审计——它会对 header 值做转义（如\x00→\x00），丢失原始编码上下文，且不保证输出格式稳定
最易被忽略的是：header 值长度本身可能就是攻击面（如超长 Referer 触发栈溢出），清洗前先做长度截断（例如限制单个 header ≤ 4096 字节），比字符过滤更前置、更有效。
