HTTP头Content-Disposition分号后是否需空格？WAF拦截问题排查

1. Content-Disposition头的问题点 #

你遇到的WAF拦截，核心原因大概率是filename参数值未用双引号包裹。尽管你的文件名f.txt是简单字符，但部分WAF会严格遵循RFC 6266（HTTP Content-Disposition头的标准）的建议：指定filename参数时，参数值应当用双引号括起来，规范格式应为：

content-disposition: inline; filename="f.txt"

不少WAF的规则引擎会将未加引号的filename参数判定为格式不规范的HTTP头，进而触发拦截逻辑。

2. 分号后是否必须加空格？ #

根据HTTP标准（RFC 7230），头字段中参数分隔的分号后允许有可选的空格，也就是说以下两种格式均合法：

• content-disposition: inline;filename=f.txt
• content-disposition: inline; filename=f.txt

但部分实现（包括一些WAF、老旧的HTTP客户端/服务器）可能会对空格有强制要求，将无空格的格式判定为非法。不过从你的场景来看，filename未加引号才是更可能的触发原因。

解决建议 #

• 调整Spring Framework的Content-Disposition头设置，给filename参数值加上双引号；
• 如果WAF规则允许，也可以尝试在分号后添加空格，兼容那些对空格有要求的规则。

内容的提问来源于stack exchange，提问作者nfree