HTTP-statuscodecontrole

Wat de controle kan melden

Een gewone Fetch-aanvraag tussen origins onthult niet elke omleidingsstap. Dit is dus geen volledige ketencontrole: tussenstatussen, Location-waarden en tijden per stap blijven verborgen. Een servercontrole moet elk nieuw doel valideren en privénetwerken uitsluiten om dat veilig te doen.

Grenzen van browser, CORS en privacy

De aanvraag gaat rechtstreeks van de browser naar het doel. Hyperion ontvangt de URL niet en maakt de verbinding niet. Cookies, HTTP-authenticatie en de referrer worden weggelaten. Het doel ontvangt wel uw IP-adres, URL, HEAD- of GET-methode en normale browserheaders. In de stappenmodus staan URL en methode kort in de sessieopslag van dit tabblad.

Een controle tussen origins werkt alleen als het CORS-beleid van het doel deze pagina toestemming geeft om de respons te lezen. no-cors helpt niet: de ondoorzichtige respons heeft voor JavaScript status 0. Fouten in CORS, DNS, TLS, gemengde inhoud, privénetwerk of verbinding kunnen daarom hetzelfde lijken. Zo’n fout bewijst niet dat de site offline is.

Alleen HTTP- en HTTPS-URL’s zonder ingebouwde inloggegevens zijn toegestaan. Localhost en letterlijk geschreven privé- of link-localadressen worden geweigerd. Omdat JavaScript niet elke hostnaam vóór Fetch betrouwbaar kan oplossen, blijven de CORS- en privénetwerkbeveiligingen van de browser nodig.

HEAD, GET en omleidingen

RFC 9110 geeft HEAD dezelfde semantiek als GET, maar zonder responsinhoud. Sommige servers schakelen HEAD uit of implementeren het verkeerd; probeer dan GET. In GET-modus annuleert de tool de stroom na de headers. Er kunnen al enkele inhoudsbytes zijn overgedragen, maar de body wordt niet getoond.

Fetch volgt omleidingen automatisch. De laatste status kan dus verschillen van de status van de ingevoerde URL. 301 en 308 zijn permanente verhuizingen; 302 en 307 tijdelijke. 307 en 308 behouden de methode. Bij 301 en 302 mag POST veranderen in GET, maar deze tool gebruikt alleen HEAD of GET.

Gebruikelijke klassen

304 hoort bij een voorwaardelijke aanvraag en staat hergebruik van een opgeslagen weergave toe; het is geen algemene successtatus voor deze controle. 401 vraagt om authenticatie, terwijl 403 betekent dat de server de aanvraag begrijpt maar weigert. De numerieke status is bepalend.