Playwright 响应头拆分开放报告：代理浏览器测试应验证 HTTP 日期
Microsoft Playwright 仓库在 2026 年 9 月 12 日出现一条开放 Issue。报告称，Firefox 与 WebKit 中的 response.headersArray() 可能在逗号处分割本应只有一个值的响应头。HTTP 日期按规范包含逗号，因此 Date、Last-Modified 等字段可能显示为两个条目，尽管服务器只发送了一行。报告还描述了 macOS WebKit 对含 Expires 日期的 Set-Cookie 处理差异。
这仍是用户提交的开放报告，不是维护者确认的缺陷或已发布修复。复现环境使用 Playwright 1.64.0-next、macOS arm64，并比较 Chromium、Firefox 与 WebKit。生产逻辑变更前必须在自己的版本中复现。
内部研究来源：Microsoft Playwright 仓库，Issue 42687，《headersArray() splits single header values on commas on Firefox and WebKit, corrupting every HTTP-date header》，2026 年 9 月 12 日创建。
为什么代理采集需要关注
浏览器自动化常用响应头判断新鲜度、缓存、签名证据和会话状态。如果一个响应头被拆成两个，采集器可能解析出无效日期、把新内容标为过期、重复记录事件，或丢失 Cookie 到期属性。
代理还可能转发、规范化或追加响应头。没有直连和源站原始证据时，团队容易把客户端转换误判为代理问题，也可能漏掉真实路由变化。
建立自有响应头夹具
在自有 HTTPS 终点返回确定的 Date、Last-Modified、Expires、日期形式的 Retry-After，再加入一个允许逗号列表的响应头，以及两条独立 Set-Cookie，其中一条包含 Expires。
正文返回随机挑战与请求编号，并在源站保存预期原始头对，便于和浏览器输出比较。
运行跨浏览器路由矩阵
| 维度 | 取值 |
|---|---|
| 浏览器 | Chromium、Firefox、WebKit |
| 路径 | 直连、代理网关 A、代理网关 B |
| API | headersArray、headerValue、allHeaders、源站原始日志 |
| 地址族 | 已购买的 IPv4、IPv6 |
| 会话 | 新建、粘性、轮换 |
固定浏览器构建、Playwright 版本、目标、语言、时区和请求头。每格重复测试，不用单一浏览器输出充当唯一事实。
解析日期前先比较结构
记录每个字段的条目数、顺序、忽略大小写的名称、完整值摘要和解析结果。单值 HTTP 日期必须保持一个语义值。不能把所有数组条目一律用逗号拼回，因为列表型和重复型响应头有不同规则。
- 单值日期要保留完整日期；
- 列表型字段可包含逗号分隔成员；
Set-Cookie必须保留独立 Cookie 行及Expires内的逗号；- 未知字段不能在没有明确语法时猜测重建。
区分代理与客户端转换
依次比较源站原始头与直连 Chromium、源站与直连 Firefox/WebKit、同一浏览器直连与代理，以及获准网关捕获与浏览器输出。
如果直连 Firefox/WebKit 已经与源站不同，而线缆响应未变，客户端路径是主要假设；如果只有一个代理路由改变原始证据，再调查该路由。结论必须可复现。
保护缓存与新鲜度判断
不要保存从畸形响应头解析出的时间。先确认完整 HTTP 日期可解析、位于合理范围并匹配原始值摘要。源站接收时间应单独保存，不能冒充服务器 Date。
若 Last-Modified 驱动条件请求，要确认下一次 If-Modified-Since 发送完整值。只剩星期或丢失逗号会让缓存验证静默失效。
保护 Cookie 与会话
Cookie 到期时间风险更高，损坏的 Expires 会改变会话寿命。比较浏览器 Cookie 存储与原始 Set-Cookie，但绝不记录 Cookie 值；只保存名称哈希、到期、域、路径、安全标志和解析结果。
结合TLS 信任配置隔离测试和住宅代理会话粘性测试。响应头正确并不证明出口之间会话隔离。
正式修复前的临时处理
关键元数据优先使用在当前运行时中验证能保留完整值的 API，并保留原始响应头或源站对照。只对已知单值日期字段做窄范围处理。按浏览器与版本建立回归测试，只有正式发布版本通过后才移除兼容代码。
不要拼接任意响应头数组、改写第三方 Cookie 或降低验证强度。看似合理但错误的元数据，比拒绝不确定记录更危险。
上线检查清单
- 明确标注报告仍开放且未确认；
- 自有夹具有源站原始头对；
- 三浏览器均完成直连与代理对照；
- 单值日期保持一个语义值；
- 列表字段与 Set-Cookie 分开处理；
- 缓存验证器发送完整日期；
- 日志不包含 Cookie 值；
- 未知或畸形元数据默认拒绝；
- 每次测试保存浏览器版本；
- 临时兼容方案有明确移除测试。
常见问题
这能证明代理修改了响应头吗？
不能。报告涉及 Playwright 的表示路径，必须比较直连、源站原始证据与代理路径后再归因。
可以把所有重复值用逗号拼接吗？
不可以。不同字段的组合规则不同，Set-Cookie 还需特殊处理。只按明确语法重建。
响应正文会受影响吗？
报告聚焦响应头表示。正文应另用代理响应完整性测试验证。
现在就应修改生产解析吗？
只有在精确版本中复现后才应修改，并采用窄范围、可回退且有回归覆盖的方案。
合规说明
只测试自有或获准系统与代理路由。最小化响应头留存，不泄露 Cookie 与凭据，遵守隐私、合同与平台要求。元数据验证不得用于绕过访问控制。
