版权声明：本文为博主原创文章，未经博主允许不得转载。 https://blog.csdn.net/linux_0416/article/details/80100925
HTTP/1.1 200 OK --响应行
Server: Apache-Coyote/1.1 --多个响应头
Content-Length: 51
Date: Sun, 28 Dec 2014 01:51:16 GMT
--一个空行
this is first servlet!!Sun Dec 28 09:51:16 CST 2014 --实体内容（用户直接看到的内容）
一，响应行
HTTP/1.1 http协议版本信息
状态码：服务器对于请求处理的结果
其中常用的状态码的含义：
200： 表示请求处理完成。
302： 表示请求需要进一步细化。通常该状态码和location响应头结合使用。
404： 表示客户端错误，找不到资源。
500： 表示服务器错误。
其中不常用的也在此告诉大家：
|"100" ; 10.1.1节: 继续
|"101" ; 10.1.2节: 转换协议
|"200" ; 10.2.1节: OK
|"201" ; 10.2.2节: 已创建
|"202" ; 10.2.3节: 接受
|"203" ; 10.2.4节: 非权威信息
|"204" ; 10.2.5节: 无内容
|"205" ; 10.2.6节: 重置内容
|"206" ; 10.2.7节: 部分内容
|"300" ; 10.3.1节: 多个选择
|"301" ; 10.3.2节: 永久移动
|"302" ; 10.3.3节: 发现
|"303" ; 10.3.4节: 见其它
|"304" ; 10.3.5节: 没有被改变
|"305" ; 10.3.6节: 使用代理
|"307" ; 10.3.8节 临时重发
|"400" ; 10.4.1节: 坏请求
|"401" ; 10.4.2节: 未授权的
|"402" ; 10.4.3节: 必要的支付
|"403" ; 10.4.4节: 禁用
|"404" ; 10.4.5节: 没有找到
|"405" ; 10.4.6节: 方式不被允许
|"406" ; 10.4.7节: 不接受的
|"407" ; 10.4.8节: 需要代理验证
|"408" ; 10.4.9节： 请求超时
|"409" ; 10.4.10节； 冲突
|"410" ; 10.4.11节： 不存在
|"411" ; 10.4.12节： 长度必需
|"412" ； 10.4.13节；先决条件失败
|"413" ; 10.4.14节： 请求实体太大
|"414" ; 10.4.15节； 请求URI太大
|"415" ; 10.4.16节： 不被支持的媒体类型
|"416" ； 10.4.17节： 请求的范围不满足
|"417" ; 10.4.18节： 期望失败
|"500" ; 10.5.1节: 服务器内部错误
|"501" ; 10.5.2节: 不能实现
|"502" ; 10.5.3节: 坏网关
|"503" ; 10.5.4节: 服务不能获得
|"504" ; 10.5.5节: 网关超时
|"505" ; 10.5.6节: HTTP版本不支持
二，响应头：
Location: http://www.it315.org/index.jsp --重定向地址。通常和302状态码配合使用，完成请求重定向效果
Server:apache tomcat --服务器类型
Content-Encoding: gzip --服务器发送给浏览器的数据压缩格式
Content-Length: 80 --服务器发送给浏览器数据长度
Content-Language: zh-cn --服务器发送给浏览器数据语言
Content-Type: text/html; charset=GB2312 --服务器发送给浏览器数据类型
Last-Modified: Tue, 11 Jul 2000 18:23:51GMT --服务器资源最后修改时间
Refresh: 1;url=http://www.it315.org --定时刷新或每隔n秒跳转页面
Content-Disposition: attachment; filename=aaa.zip --告诉浏览器以下载方式打开资源
Transfer-Encoding: chunked
Set-Cookie:SS=Q0=5Lb_nQ; path=/search --服务器发送给浏览器的cookie信息
Expires:-1 --建议浏览器不使用缓存
Cache-Control:no-cache
Pragma:no-cache
Connection: close/Keep-Alive --服务器和浏览器连接状态。close：关闭连接。keep-alive:保持连接。
Date: Tue, 11 Jul 2000 18:23:51 GMT --响应发送的时间
传统的跨域请求没有好的解决方案，无非就是jsonp和iframe，随着跨域请求的应用越来越多，W3C提供了跨域请求的标准方案（Cross-Origin Resource Sharing）。IE8、Firefox 3.5 及其以后的版本、Chrome浏览器、Safari 4 等已经实现了 Cross-Origin Resource Sharing 规范，实现了跨域请求。在服务器响应客户端的时候，带上Access-Control-Allow-Origin头信息。
如PHP添加响应头信息：
传统的Ajax请求只能获取在同一个域名下面的资源，但是HTML5打破了这个限制，允许Ajax发起跨域的请求。浏览器是可以发起跨域请求的，比如你可以外链一个外域的图片或者脚本。但是Javascript脚本是不能获取这些资源的内容的，它只能被浏览器执行或渲染。
在Flash和Silverlight中，服务器需要创建一个crossdomain.xml的文件来允许跨域请求。如果这个文件声明“http://your.site”允许来自“http://my.site”的请求，则来自“http://my.site”的请求可以访问所有“http://your.site”的文件。这是一种整个站点层面上的控制模式，要么你允许一个外域的站点访问，要么拒绝。
COR不一样，它是页面层次的控制模式。每一个页面需要返回一个名为‘Access-Control-Allow-Origin’的HTTP头来允许外域的站点访问。你可以仅仅暴露有限的资源和有限的外域站点访问。在COR模式中，访问控制的职责可以放到页面开发者的手中，而不是服务器管理员。当然页面开发者需要写专门的处理代码来允许被外域访问。
另外一个主要的区别是，某个站点的crossdomain.xml文件是最早被浏览器获取并分析的。如果一个外域的站点不允许被访问，浏览器压根就不会发出跨域请求。
COR则相反，Javascript先发出跨域请求，然后检查回复的‘Access-Control-Allow-Origin’头。如果这个头允许该外域访问，则Javascript可以读取这个回复，否则就被禁止访问。如果请求不是一个简单的COR，则向外域服务器发送预检验请求，如果回复的头部允许访问，则发送跨域请求，否则禁止。
COR的实现标准就是CORS协议。
对于浏览器来说，COR请求都是Javascript发起的，COR请求有两种：
1、简单的COR请求，它可以直接向外域资源发起请求。它必须仅仅包含简单的方法和头，具体定义看[2] 6.1。
2、如果COR包含复杂的方法和头，它需要发出预检验（Preflight）请求，它先向资源服务器发出一个OPTIONS方法、包含“Origin”头的请求。该回复可以控制COR请求的方法，HTTP头以及验证等信息。只有该请求获得允许以后，才会发起真实的外域请求。
下面是一个简单的COR请求：
<script language="Javascript" type="text/javascript">
var client = new XMLHttpRequest();
client.open("GET", "http://bar.org/b")
client.onreadystatechange = function() { /* do something */ }
client.send()
</script>
假设这个请求所在页面的域是“http://foo.org”。 如果来自“http://bar.org/b”的回复包含这样的头：
Access-Control-Allow-Origin: http://foo.org
则表明，它允许来自“http://foo.org”的跨域请求。
下面的Javascript会发出预检验请求和真实请求：
<script language="Javascript" type="text/javascript">
var client = new XMLHttpRequest();
client.open("GET", "http://bar.org/b")
client.setRequestHeader('Content-Type','text/html')
client.onreadystatechange = function() { /* do something */ }
client.send()
</script>
由于“Content-type: text/html”不是一个简单的头，它会先向"http://bar.org/b"发出一个OPTIONS的HTTP请求。 回复可能包含这样的头：
Access-Control-Allow-Origin: http://foo.org
Access-Control-Max-Age: 3628800
Access-Control-Allow-Methods: GET，PUT, DELETE
Access-Control-Allow-Headers: content-type
"Access-Control-Allow-Origin"表明它允许"http://foo.org"发起跨域请求
"Access-Control-Max-Age"表明在3628800秒内，不需要再发送预检验请求，可以缓存该结果
"Access-Control-Allow-Methods"表明它允许GET、PUT、DELETE的外域请求
"Access-Control-Allow-Headers"表明它允许跨域请求包含content-type头
如果预检验请求获得通过，接下来Javascript就会发起真实的COR请求，过程跟简单的COR请求类似。
CORS协议的实现
现在HTML5的标准如火如荼的在制定和发展中,CORS作为HTML5的一部分，在大部分现代浏览器中有所支持，支持(部分支持)CORS协议的浏览器有IE8+, Firefox5+, Chrome12+, Safari4+
服务端实现
Thinktecture.IdentityModel 这个库已经为我们的WebAPI,MVC的项目做好了支持，具体参看[6]。
参考资料：
[1] http://code.google.com/p/html5security/wiki/CrossOriginRequestSecurity
[2] http://www.w3.org/TR/cors/
[3]Cross-origin_resource_sharing
[4]跨域资源共享(Cross-Origin Resource Sharing)实现Ajax跨域请求
[5]http://restfulobjects.codeplex.com/wikipage?title=Cross%20Origin%20Resource%20Sharing&referringTitle=Documentation
[6]CORS support in WebAPI, MVC and IIS with Thinktecture.IdentityModel
三，响应实体由后台指定内容发出。
HttpServletResponse对象用于设置响应信息。
常用方法：
响应行：
response.setStatus(); 设置状态码
响应头：
response.setHeader(name,value); 设置响应头
实体内容
response.getWriter().writer() 以字符格式发送实体内容
response.getOutputStream().writer() 以字节格式发送实体内容
修改响应数据的方法。