HTTP 請求頭自定義參數作用：服務端識別 AJAX、傳遞 Token、版本控制

xhr.setRequestHeader('key', 'value') 設置的自定義 Header，瀏覽器發送時會攜帶，服務端可讀取。典型用途：

1. 識別 AJAX 請求

// 前端
xhr.setRequestHeader('X-Requested-With', 'XMLHttpRequest');

// 後端 (Spring MVC)
@GetMapping("/api/data")
public String api(@RequestHeader(value="X-Requested-With", required=false) String xrw) {
    if (!"XMLHttpRequest".equals(xrw)) return "forbidden"; // 非 AJAX 拒絕
    return "data";
}

2. 傳遞認證 Token

xhr.setRequestHeader('Authorization', 'Bearer ' + token);

3. API 版本控制

xhr.setRequestHeader('Accept-Version', 'v2');

限制

• 瀏覽器**禁止**設置部分敏感 Header：Referer、Origin、Host、Cookie 等
• 跨域請求需服務端 Access-Control-Allow-Headers 白名單放行自定義 Header
• JS 無法直接讀取響應頭自定義字段（受 Access-Control-Expose-Headers 限制）