Angular 5如何通过HttpClient/HttpHeader禁用请求头安全检查？

嘿，我来帮你捋清楚这个问题哈～

首先得明确一个核心点：浏览器底层的XMLHttpRequest规范（包括Angular HttpClient依赖的XHR），是不允许开发者手动修改某些被标记为「不安全」的请求头的，比如你提到的Host、Connection、Accept-Encoding这些，浏览器会自动处理它们的取值，你强行设置就会触发那串报错。

为什么你觉得AJAX（jQuery）能绕过？ #

你说的jQuery示例，其实并不是真的「禁用安全检查」——jQuery内部做了判断：如果你尝试设置这些不安全的头，它会悄悄把你的设置忽略掉，不会真的传给浏览器去处理。你看着代码里写了，但实际上浏览器还是用了默认的头，并没有突破限制。

那怎么解决你的需求？ #

既然前端浏览器层面没法突破这个安全限制，可行的方案有两个：

• 方案一：搭个后端代理
  自己搞个简单的后端服务（比如Node.js、Java Spring都可以），让你的Angular应用先请求这个后端，再由后端把请求转发到目标游戏API。因为后端不受浏览器的XHR规范约束，能自由设置所有请求头，包括那些被标记为unsafe的。
  给你个简单的Node.js代理示例（用express和http-proxy-middleware）：

  const express = require('express');
  const { createProxyMiddleware } = require('http-proxy-middleware');
  const app = express();
  
  // 代理目标游戏API的请求
  app.use('/game-proxy', createProxyMiddleware({
    target: 'https://目标游戏API的域名',
    changeOrigin: true,
    // 这里可以自由设置所有需要的请求头
    headers: {
      Host: '目标Host值',
      Referer: '目标Referer地址',
      'User-Agent': '你要设置的UA',
      Origin: '目标Origin',
      Connection: 'keep-alive'
    },
    pathRewrite: { '^/game-proxy': '' } // 把前缀去掉转发到目标API
  }));
  
  app.listen(3000, () => {
    console.log('代理服务跑在3000端口啦');
  });
  

  之后你的Angular代码就请求http://localhost:3000/game-proxy/具体接口路径就行啦。

• 方案二：试探API的校验底线
  有些游戏API的校验可能没那么严格，不一定要求所有unsafe头都完全匹配。你可以逐个测试哪些头是能成功设置的（比如User-Agent、Referer在部分场景下是可以自定义的），看看能不能满足API的校验要求，说不定不用全设置就能通过。

最后总结下 #

前端是真的没法禁用浏览器的请求头安全检查，这是浏览器的安全机制，防止恶意请求乱改关键头。最靠谱的解决办法还是通过后端代理来转发请求，这样就能完全控制所有请求头啦。

内容的提问来源于stack exchange，提问作者Buttars