setRequestHeader()必须在open()之后、send()之前调用，且仅允许设置非禁用头；跨域时需服务端在Access-Control-Allow-Headers中声明自定义头，否则触发预检失败。
在 JavaScript 中使用原生 Ajax（即 XMLHttpRequest）时，setRequestHeader() 可以手动添加自定义请求头，但**必须在 open() 之后、send() 之前调用**，否则会报错或被忽略。
必须满足的前置条件
不是所有请求头都能随意设置，浏览器有严格限制：
-
禁止覆盖安全头：如
Accept、Content-Type、Authorization等部分标准头，某些情况下可设，但像Cookie、Host、Origin这类由浏览器控制的头完全不允许手动设置； -
CORS 场景下更受限：跨域请求时，只有“简单请求头”（如
Accept、Content-Type、Content-Language）可自由添加；其他自定义头（如X-Api-Version、X-Trace-ID）会触发预检（OPTIONS），且服务端必须在Access-Control-Allow-Headers中显式声明才允许； -
请求状态必须是 OPENED：调用
setRequestHeader()前，XMLHttpRequest实例必须已执行过open()，否则抛出InvalidStateError。
正确调用顺序示例
以下是最小可用代码片段：
const xhr = new XMLHttpRequest();
xhr.open('POST', '/api/data');
// ✅ 正确：open 之后，send 之前
xhr.setRequestHeader('X-Request-ID', 'abc123');
xhr.setRequestHeader('X-Client-Version', '2.1.0');
xhr.onreadystatechange = function () {
if (xhr.readyState === 4 && xhr.status === 200) {
console.log(xhr.responseText);
}
};
xhr.send(JSON.stringify({ name: 'Alice' }));
常见失败原因与规避方式
遇到 setRequestHeader is not allowed 或请求头未生效？检查这些点：
立即学习“Java免费学习笔记（深入）”；
-
跨域未配 CORS 头：服务端响应中缺失
Access-Control-Allow-Headers: X-Request-ID, X-Client-Version； -
调用时机错误：比如在
onload回调里调用，或send()后再设——此时请求已发出，无效； -
设置了禁用头：例如
xhr.setRequestHeader('Cookie', 'xxx')会被静默忽略，应交由浏览器自动携带； -
Content-Type 冲突：若未显式设置
Content-Type，send()传入对象时浏览器可能自动设为text/plain，导致后端解析失败；建议明确设置：xhr.setRequestHeader('Content-Type', 'application/json')。
替代方案：Fetch API 更简洁
现代开发推荐用 fetch，写法更直观，且自动处理部分边界逻辑：
fetch('/api/data', {
method: 'POST',
headers: {
'Content-Type': 'application/json',
'X-Request-ID': 'abc123',
'X-Client-Version': '2.1.0'
},
body: JSON.stringify({ name: 'Alice' })
})
.then(res => res.json())
.then(data => console.log(data));
注意：fetch 同样受 CORS 和安全头限制，但错误提示更清晰，也无需手动管理请求状态。
