headers.has() 是 fetch api 中用于同步、轻量判断 http 头是否存在的方法，不区分大小写、不触发网络请求、不读取值，适合校验 authorization 等敏感头部。
Headers.has() 是 Fetch API 中 Headers 对象的原生方法，用于**同步、轻量地判断某个 HTTP 请求或响应头是否已设置**。它不区分大小写，不触发网络请求，也不读取实际值，因此是校验敏感头部（如 Authorization、Cookie、X-Api-Key 等）是否存在最直接高效的方式。
为什么用 has() 而不用 get() 或遍历？
校验“是否存在”只需布尔结果，无需取值：
-
headers.get('Authorization')返回null或字符串，但null可能因未设置或值为空字符串引起歧义； - 手动遍历
headers.entries()开销大、代码冗余，且易出错； -
headers.has('authorization')大小写不敏感，语义清晰，性能最优——底层直接查哈希表。
常见敏感头部的校验写法
以下均为安全场景中高频检查项，注意名称拼写（不区分大小写，但建议按标准驼峰或全大写书写）：
-
headers.has('Authorization')—— 检查是否携带认证凭据； -
headers.has('Cookie')—— 判断是否附带会话标识（尤其在跨域请求中需谨慎）； -
headers.has('X-Forwarded-For')—— 防止伪造客户端 IP（常用于服务端中间件）； -
headers.has('X-Api-Key')或headers.has('X-Auth-Token')—— 校验第三方调用合法性。
配合 fetch 请求做前置防护
在发送请求前主动检查 headers 是否符合预期，可避免误发敏感信息或漏传关键凭证：
const myHeaders = new Headers({
'Content-Type': 'application/json'
// 注意：这里没加 Authorization
});
if (!myHeaders.has('Authorization')) {
console.warn('⚠️ 缺少 Authorization 头，可能无法访问受保护接口');
// 可选择 throw Error、自动补全，或降级处理
}
fetch('/api/data', { headers: myHeaders });
在 Service Worker 或响应拦截中校验响应头
例如防止后端意外泄露敏感响应头（如 Set-Cookie 在非同源响应中本不该出现）：
addEventListener('fetch', event => {
event.respondWith(
fetch(event.request).then(response => {
const headers = response.headers;
if (headers.has('Set-Cookie') && !isSameOrigin(event.request.url)) {
console.warn('❌ 非同源响应中检测到 Set-Cookie，已过滤');
// 创建新 Response 并移除该 header（需构造新 Headers 实例）
const safeHeaders = new Headers(response.headers);
safeHeaders.delete('Set-Cookie');
return new Response(response.body, {
status: response.status,
statusText: response.statusText,
headers: safeHeaders
});
}
return response;
})
);
});
不复杂但容易忽略——用 has() 替代取值再判空，是写出健壮、可维护网络逻辑的第一步。
