Протокол HTTP 1.1

пересылки.

10.4.6 405 Метод не допустим, Method Not Allowed.

Метод, определенный в строке запроса (Request-Line) не допустимо

применять для ресурса, идентифицированного запрашиваемым URI (Request-URI).

Ответ должен включать заголовок Allow, содержащий список допустимых методов

для запрошенного ресурса.

10.4.7 406 Не приемлем, Not Acceptable.

Ресурс, идентифицируемый запросом, имеет возможности генерации только

таких объектов ответа, которые имеют характеристики содержимого (content

characteristics), не согласующиеся с заголовками приема (accept headers),

представленными в запросе.

Если это был не запрос HEAD, то в ответ следует включить объект,

содержащий список доступных характеристик объекта и адреса (locations), из

которых пользователь или агент пользователя может выбрать наиболее

подходящий. Формат объекта определеятся медиатипом, представленным в поле

заголовка Content-Type. В зависимости от формата и возможностей агента

пользователя, выбор наиболее подходящего варианта может выполняться

автоматически. Однако эта спецификация не определяет никакого стандарта для

автоматического выбора.

HTTP/1.1 серверы возвращают ответы, которые не приемлемы согласно

заголовкам приема (accept headers), представленным в запросе. В некоторых

случаях, это может быть даже предпочтительно по сравнению с посылкой ответа

с кодом состояния 406. Агентам пользователя неплохо бы рассматривать

заголовки поступившего ответа, чтобы определить, является ли он приемлемым.

Если ответ недопустим, агенту пользователя следует временно остановиться,

чтобы получить больше данных и спросить пользователя о дальнейших

действиях.

10.4.8 407 Требуется установление подлинности через прокси-сервер,

Proxy Authentication Required.

Этот код подобен коду 401 (Несанкционированно, Unauthorized), но

указывает, что клиент должен сначала установить свою подлинность

(authenticate) прокси-серверу. Прокси-сервер должен возвратить поле

заголовка Proxy-Authenticate, содержащее вызов (challenge), применяемый

прокси-сервером для запрошенного ресурса. Клиент может повторить запрос с

подходящим полем заголовка Proxy-Authorization.

10.4.9 408 Истекло время ожидания запроса, Request Timeout.

Клиент не произвел запрос в течение времени, которое сервер готов

ждать. Клиент может повторить запрос без модификаций позже.

10.4.10 409 Конфликт, Conflict.

Запрос не был выполнен из-за конфликта с текущим состоянием ресурса.

Этот код допустим только в ситуациях, когда ожидается, что пользователь

может решить конфликт и повторно передать запрос. Телу ответа следует

содержать достаточное количество информации для пользователя, чтобы он мог

распознать источник конфликта. В идеале, объект ответа должен включать

достаточно информации для пользователя или агента пользователя для решения

проблемы; однако это может быть не возможно, да и не требуется.

Конфликты, наиболее вероятно, будут возникать в ответ на запрос PUT.

Если используется версификация, и объект, который должен быть помещен,

включает изменения ресурса, которые находятся в противоречии со сделанными

раньше каким-либо запросом (третьей стороны), сервер может использовать

ответ с кодом состояния 409, чтобы показать, что он не может выполнить

запрос. В этом случае, объекту ответа следует содержать список отличий двух

версий в формате, определенном полем заголовка ответа Content-Type.

10.4.11 410 Удален, Gone.

Запрошенный ресурс больше не доступен на сервере, и нет никакого

адреса для перенаправления запроса. Такое состояние следует рассматривать

как постоянное. Клиентам с возможностями редактирования гиперсвязей следует

удалить ссылки на запрашиваемый URI (Request-URI) после одобрения

пользователем. Если сервер не знает, или не может определить, является ли

такое положение постоянным или нет, то ему следует вместо этого кода

использовать код состояния 404 (Не найден, Not Found). Этот ответ является

кэшируемым, если не обозначено иного.

Ответ с кодом состояния 410 предназначен прежде всего для того, чтобы

помочь в сопровождении WWW, уведомляя получателя, что ресурс преднамеренно

недоступен и что владельцы сервера желают, чтобы удаленные связи,

указывающие на этот ресурс были удалены. Такое случается в основном для

ограниченных по времени, рекламных сервисов и для ресурсов, принадлежащих

личностям, больше не занимающимся сайтом. Не обязательно отмечать все

постоянно недоступные ресурсы как "удаленные" ("gone") или хранить запись в

течение любого отрезка времени - это предоставляется на усмотрение

владельца сервера.

10.4.12 411 Требуется длина, Length Required.

Сервер отказывается принимать запрос с неопределенным Content-Length.

Клиент может повторить запрос, если добавит допустимое поле заголовка

Content-Length, содержащее длину тела сообщения (message-body) в сообщении

запроса.

10.4.13 412 Предусловие неверно, Precondition Failed.

Предусловие, представленное одним или несколькими полями заголовка

запроса (request-header), оказалось ложным при проверке сервером. Этот код

ответа позволяет клиенту поместить предусловия на текущую метаинформацию

ресурса (данные полей заголовка) и, таким образом, предотвратить применение

запрошенного метода к ресурсу, отличному от того, для которого предназначен

метод.

10.4.14 413 Объект запроса слишком большой, Request Entity Too Large.

Сервер отказывается обрабатывать запрос, потому что объект запроса

больше, чем сервер желает или способен обработать. Сервер может закрыть

соединение, чтобы не дать клиенту возможность продолжить запрос.

Если это временное состояние, то серверу следует включить поле

заголовка Retry-After для указания времени, через которое клиент может

снова повторить запрос.

10.4.15 414 URI запроса слишком длинный, Request-URI Too Long.

Сервер отказывается обслуживать запрос, потому что запрашиваемый URI

(Request-URI) длиннее, чем сервер желает интерпретировать. Это редкое

состояние, которое, по всей вероятности, происходит только тогда, когда

клиент неправильно преобразовал запрос POST к запросу GET с длинной

информацией запроса, либо когда клиент попал в "черную дыру" URL

перенаправления (например, перенаправленный URL префикс указывает на свой

суффикс), или когда на сервер производится нападение клиентом, пытающимся

эксплуатировать лазейки в секретности, имеющиеся в некоторых серверах,

использующих буфера фиксированной длины для чтения или манипулирования с

запрашиваемым URI (Request-URI).

10.4.16 415 Неподдерживаемый медиатип, Unsupported Media Type.

Сервер отказывается обслуживать запрос, потому что объект запроса

находится в формате, не поддерживаемом запрошенным ресурсом для

запрошенного метода.

10.5 5xx - Коды ошибок сервера.

Коды состояния, начинающиеся с цифры "5" указывают случаи, в которых

сервер знает, что допустил ошибку или неспособен выполнить запрос. Отвечая

на запрос, за исключением запроса HEAD, серверу следует включить объект,

содержащий объяснение ошибочной ситуации и информацию, является ли это

положение временным или постоянным. Агентам пользователя следует показывать

пользователю любой включенный объект. Эти коды состояния применимы к любому

методу запроса.

10.5.1 500 Внутренняя ошибка сервера, Internal Server Error.

Сервер столкнулся с непредвиденным условием, которое не позволяет ему

выполнить запрос.

10.5.2 501 Не реализовано, Not Implemented.

Сервер не обладает функциональными возможностями, требуемыми для

выполнения запроса. Сервер не распознает метод запроса и не реализует его

ни для каких ресурсов.

10.5.3 502 Ошибка шлюза, Bad Gateway.

Сервер, действуя в качестве шлюза или прокси-сервера, получил

недопустимый ответ от следующего сервера в цепочке запросов, к которому

обратился при попытке выполнить запрос.

10.5.4 503 Сервис недоступен, Service Unavailable.

Сервер в настоящее время не способен обработать запрос из-за временной

перегрузки или обслуживания сервера. Это состояние временное и после

некоторой задержки сервер продолжит функционировать. Если известна

продолжительность задержки, она может быть указана в заголовке Retry-After.

Если Retry-After отсутствует в ответе, клиенту следует обрабатывать этот

ответ как ответ с кодом 500.

Существование кода состояния 503 не подразумевает, что сервер должен

использовать его, когда перегружен. Некоторые сервера могут просто

закрывать соединение.

10.5.5 504 Истекло время ожидания от шлюза, Gateway Timeout.

Сервер, действуя в качестве шлюза или прокси-сервера, не получил

своевременного ответа от следующего сервера в цепочке запросов, к которому

обратился при попытке выполнить запрос.

10.5.6 505 Не поддерживаемая версия HTTP, HTTP Version Not Supported.

Сервер не поддерживает или отказывается поддерживать версию протокола

HTTP, которая используется в сообщении запроса. Сервер указывает, что не

способен или не желает выполнять запрос, используя ту же самую major

версию, что и клиент (кроме этого сообщения). Ответу следует включать

объект, описывающий, почему эта версия не поддерживается, и какие другие

протоколы поддерживаются этим сервером.

11 Установление подлинности доступа (Access Authentication).

Для установления подлинности доступа HTTP предоставляет простой

механизм вызовов-ответов (challenge-response), который может использоваться

сервером для вызова (challenge) клиентского запроса, а клиентом для

предоставления опознавательной информации (authentication information). Для

этого используется расширяемая, не чувствительная к регистру лексема

идентификации схемы установления подлинности (authentication scheme) и

список пар атрибут-значение (attribute-value), разделенных запятыми. Пары

представляют параметры, необходимые для установления подлинности при

использовании этой схемы.

auth-scheme = token

auth-param = token "=" quoted-string

Сообщение ответа с кодом 401 (Несанкционирован, Unauthorized)

используется первоначальным сервером для вызова (challenge) установления

подлинности (authorization) агентом пользователя. Этот ответ должен

содержать поле заголовка WWW-Authenticate, содержащее по крайней мере один

вызов (challenge), применимый к запрошенному ресурсу.

challenge = auth-scheme 1*SP realm *( "," auth-param )

realm = "realm" "=" realm-value realm-value = quoted-string

Атрибут области (realm) (не чувствительный к регистру) необходим во

всех схемах установления подлинности, которые выдают вызов (challenge).

Значение аттрибута realm (чувствительное к регистру), в комбинации с

каноническим корневым URL (canonical root URL) сервера, к которому обращен

запрос, идентифицирует защищенную область (protection space). Эти области

позволяют разбивать защищенные ресурсы сервера на множество областей,

каждая из которых имеет собственную схему установления подлинности и/или

базу данных авторизации (authorization database). Значение realm - это

строка, вообще говоря назначенная первоначальным сервером, которая может

иметь дополнительную семантику, специфическую для схемы установления

подлинности.

Агент пользователя, который хочет доказать свою подлинность серверу,

обычно, но не обязательно, может это сделать после получения ответа с кодом

состояния 401 или 411, включив поле заголовка Authorization в запрос.

Значение поля Authorization состоит из рекомендаций (credentials), которые

содержат информацию установления подлинности (authentication information)

агента пользователя для области (realm), в которой лежит запрошенный

ресурс.

credentials = basic-credentials | auth-scheme #auth-param

Область (domain), над которой рекомендации (credentials) могут

автоматически применяться агентом пользователя, определена областью защиты

(protection space). Если подлинность была установлена предшествующим

запросом, то эти же рекомендации (credentials) могут использоваться

многократно во всех других запросах внутри этой области защиты (protection

space) в течении времени, определенного схемой установления подлинности,

параметрами, и/или установками пользователя. Если схемой установления

подлинности не определено иного, то одиночная область защиты (protection

space) не может простираться за пределы области сервера (the scope of its

server).

Если сервер не желает принимать рекомендации (credentials), посланные

в запросе, то ему следует возвратить ответ с кодом 401 (Несанкционирован,

Unauthorized). Ответ должен включать поле заголовка WWW-Authenticate,

содержащее (возможно новый) вызов (challenge), применимый к запрошенному

ресурсу, и объект, объясняющий отказ.

Протокол HTTP не ограничивает возможности приложений по установлению

подлинности доступа использованием этого простого механизма вызовов-ответов

(challenge-response). можно использовать дополнительные механизмы, такие

как шифрование на транспортном уровне или формирование пакета сообщения

(message encapsulation) с дополнительными полями заголовка, определяющими

информацию установления подлинности. Однако эти дополнительные механизмы не

определены данной спецификацией.

Прокси-сервера должны быть полностью прозрачны для установления

подлинности агента пользователя. То есть они должны пересылать заголовки

WWW-Authenticate и Authorization нетронутыми.

HTTP/1.1 позволяет клиенту передавать информацию установления

подлинности для и от прокси-сервера посредством заголовков Proxy-

Authenticate и Proxy-Authorization.

11.1 Базовая схема установления подлинности (Basic Authentication

Scheme).

"Базовая" схема установления подлинности основана на том, что агент

пользователя должен доказывать свою подлинность при помощи идентификатора

пользователя (user-ID) и пароля (password) для каждой области (realm).

Значению области (realm) следует быть непрерывной (opaque) строкой, которую

можно проверять только на равенство с другими областями на этом сервере.

Сервер обслужит запрос, только если он может проверить правильность

идентификатора пользователя (user-ID) и пароля (password) для защищенной

области (protection space) запрошенного URI (Request-URI). Никаких

опциональных опознавательных параметров нет.

После получения запроса на URI, находящийся в защищаемой области

(protection space), сервер может ответить вызовом (challenge), подобным

следующему:

WWW-Authenticate: Basic realm="WallyWorld"

где "WallyWorld" - строка, назначенная сервером, которая

идентифицирует область защиты запрашиваемого URI (Request-URI).

Чтобы получить права доступа, клиент посылает идентификатор

пользователя (userid) и пароль (password), разделенные одним символом

двоеточия (":"), в base64-кодированной строке рекомендаций (credentials).

basic-credentials = "Basic" SP basic-cookie

basic-cookie =

user-pass = userid ":" password

userid = *

password = *TEXT

Userid может быть чувствителен к регистру.

Если агент пользователя хочет послать идентификатор пользователя

(userid) "Aladdin", и пароль (password) "open sesame", он будет

использовать следующее поле заголовка:

Authorization: Basic QWxhZGRpbjpvcGVuIHNlc2FtZQ==

11.2 Обзорная схема установления подлинности (Digest Authentication

Scheme) [1].

13 Кэширование в HTTP.

HTTP обычно используется для распределенных информационных систем,

эффективность которых может быть улучшена при использовании кэшированных

ответов. Протокол HTTP/1.1 включает ряд элементов, предлагаемых как

возможная реализация кэширования. Так как эти элементы отличаются от других

аспектов протокола, и так как они взаимодействуют друг с другом, то полезно

будет описать основы кэширования в HTTP отдельно от детализированных

описаний методов, заголовков, кодов состояния, и прочего.

Цель кэширования в HTTP/1.1 состоит в том, чтобы устранить потребность

посылки запросов во многих случаях, и устранить потребность посылки полных

ответов в других случаях. Кэширование уменьшает число пересылок информации

по сети, требуемых для многих действий; мы используем для этой цели

механизм "устаревания" ("expiration"). Кэширование снижает требования к

пропускной способности сети; мы используем для этой цели механизм "проверки

достоверности" ("validation").

Требования эффективности, доступности, и раздельного функционирования

требуют, чтобы цель семантической прозрачности была отодвинута на второй

план. Протокол HTTP/1.1 позволяет первоначальным серверам, кэшам, и

клиентам явно ограничивать прозрачность в случае необходимости. Однако, так

как непрозрачное функционирование может ввести в заблуждение неопытных (non-

expert) пользователей, и может быть несовместимо с некоторыми серверными

приложениями (такими как заказ товаров), протокол требует, чтобы

прозрачность ослаблялась

- Только явным запросом на уровне протокола если ослабление вызывается

клиентом или первоначальным сервером

- Только с явным предупреждением конечного пользователя если ослабление

вызывается кэшем или клиентом

Таким образом протокол HTTP/1.1 предоставляет следующие важные

элементы:

1. Возможности протокола, которые обеспечивают полную семантическую

прозрачность когда это требуется всем сторонам.

2. Возможности протокола, которые позволяют первоначальному серверу или

агенту пользователя явно запрашивать непрозрачное функционирование и

управлять им.

3. Возможности протокола, которые позволяют кэшу присоединять к ответам

предупреждения о том, что запрошенный уровень семантической

прозрачности не сохранен.

Базовый принцип состоит в том, что клиенты должны иметь возможность

обнаружить любое потенциальное ослабление семантической прозрачности.

Реализатор сервера, кэша или клиента может столкнуться с проблемами,

явно не обсужденными в этой спецификации. Если решение может воздействовать

на семантическую прозрачность, реализатор должен принимать решения в

сторону сохранения прозрачности, если осторожный и полный анализ не

показывает значительных выгод раздельного функционирования.

13.1 Общая информация о кэшировании.

13.1.1 Правильность кэша.

Правильный кэш должен отвечать на запрос наиболее современным ответом,

соответствующим запросу, из хранимых кэшем который удовлетворяет одному из

следующих условий:

1. Он был проверен на эквивалентность ответу, который возвратил

первоначальный сервер, повторно подтверждая достоверность;

2. Он "достаточно свеж" ("fresh enough"). По умолчанию это означает,

что он удовлетворяет наименьшему из ограничительных требований

свежести клиента, сервера и кэша; если так определено первоначальным

сервером, то это - требование свежести единственно первоначального

Страницы: 1, 2, 3, 4, 5, 6, 7, 8