服务器间HTTP请求添加Origin请求头是否属于不良实践？

1. 是否违反HTTP标准？ #

HTTP规范并未禁止服务器端请求手动添加Origin头。Origin头的设计初衷是标识请求的发起源，通常由浏览器在跨域请求中自动注入，但服务器端请求不属于浏览器环境，标准没有限制开发者手动设置该字段。

2. 是否属于不良实践？ #

要结合具体场景判断：

• 如果目标服务依赖Origin头做跨域权限校验，手动设置符合预期的Origin值是合理操作，比如模拟前端请求做测试、对接要求特定源的API。
• 若随意伪造Origin值，可能干扰目标服务的安全逻辑（比如绕过基于Origin的访问控制），这属于不良实践，甚至可能违反服务的使用条款。
• 部分服务会忽略非浏览器发起请求中的Origin头，这种情况下手动添加属于多余操作，完全没必要。

3. 是否有文档明确不建议该操作？ #

没有通用HTTP规范文档禁止服务器端添加Origin头，但部分服务的官方文档会指出：仅信任浏览器自动发送的Origin头，对服务器端手动设置的Origin可能不做处理或判定为无效。此外，安全最佳实践文档会提醒：不要通过伪造Origin头绕过访问控制，这属于不规范的请求行为。

内容的提问来源于stack exchange，提问作者Yanick Rochon