本文详解 Go 中 http.ResponseWriter.Header().Set() 与 http.Request.Header.Set() 的关键区别，指出常见误用——将响应头错误地写入请求头，导致 response.Header.Get() 返回空值，并提供可运行的修正示例与最佳实践。
本文详解 go 中 `http.responsewriter.header().set()` 与 `http.request.header.set()` 的关键区别，指出常见误用——将响应头错误地写入请求头，导致 `response.header.get()` 返回空值，并提供可运行的修正示例与最佳实践。
在 Go 的 HTTP 服务开发中，一个高频误区是混淆请求（*http.Request）与响应（http.ResponseWriter）的 Header 操作对象。正如示例代码所示，开发者试图通过 r.Header.Set("Authorization", "responseAuthVal") 向响应中注入头字段，但 r.Header 实际表示客户端发来的请求头，对它的修改仅影响当前请求上下文内的读取逻辑，完全不会写入最终返回给客户端的 HTTP 响应头。因此，后续调用 res.Header.Get("Authorization") 自然返回空字符串 ""。
正确的做法是：使用 http.ResponseWriter 的 Header() 方法获取响应头映射，并调用其 Set() 方法：
mux.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
// ✅ 正确：设置响应头（将被发送给客户端）
w.Header().Set("Authorization", "responseAuthVal")
w.Header().Set("X-Content-Type-Options", "nosniff")
// 可选：显式设置状态码（默认为 200）
w.WriteHeader(http.StatusOK)
fmt.Fprintln(w, "OK")
})
注意以下关键点：
- w.Header() 返回的是一个 http.Header 类型（即 map[string][]string），它在 w.WriteHeader() 或首次写入响应体前均可安全修改；
- 一旦调用 w.WriteHeader() 或向 w 写入响应体（如 fmt.Fprintln(w, ...)），Header 即被冻结，后续对 w.Header().Set() 的调用将被忽略（且不报错）；
- response.Header.Get() 获取的是服务器实际发送的响应头，它与 r.Header 完全隔离——前者来自服务端输出，后者来自客户端输入；
- 示例中 fmt.Fprintln(w, r.Header) 输出的是请求头内容（含 Authorization），这容易造成“头已设置”的错觉，实则与响应头无关。
完整修正后的可运行示例（已验证）：
package main
import (
"fmt"
"io/ioutil"
"net/http"
"net/http/httptest"
)
func main() {
mux := http.NewServeMux()
server := httptest.NewServer(mux)
defer server.Close()
mux.HandleFunc("/", func(w http.ResponseWriter, r *http.Request) {
// ✅ 修正：设置响应头，而非请求头
w.Header().Set("Authorization", "responseAuthVal")
w.Header().Set("X-Server", "Go-HTTP-Server")
fmt.Fprintln(w, "Response body")
})
req, _ := http.NewRequest("GET", server.URL, nil)
res, _ := http.DefaultClient.Do(req)
defer res.Body.Close()
// ✅ 现在能正确获取响应头
headerVal := res.Header.Get("Authorization")
fmt.Printf("auth header=%q, length=%d\n", headerVal, len(headerVal))
// 输出：auth header="responseAuthVal", length=15
// 验证其他响应头
fmt.Printf("X-Server=%q\n", res.Header.Get("X-Server"))
body, _ := ioutil.ReadAll(res.Body)
fmt.Printf("body=%s", string(body))
}
总结：在 Go HTTP 处理函数中，请始终牢记——r.Header 是只读输入（客户端请求头），w.Header() 是可写输出（服务端响应头）。任何需返回给客户端的元数据（如认证凭证、缓存策略、内容安全策略等），都必须通过 w.Header().Set() 或 w.Header().Add() 设置，并确保在响应体写入前完成。养成检查 w.Header() 而非 r.Header() 的习惯，可避免大量静默失效的头字段问题。
