HTTPie 终端工具 3.1.0 发布：强化 Cookie 安全与 CLI 架构升级
HTTPie 团队近日发布了终端 HTTP 客户端工具的 3.1.0 版本。作为开发者日常调试 API 的利器，HTTPie 在上一版本 3.0 的基础上，此次更新重点解决了长期存在的 Cookie 安全隐忧，并大幅提升了 CLI 交互的机器可读性与易用性。
核心安全突破：Cookie 主机绑定机制
本次更新最引人注目的变化是对 Cookie 管理策略的重构。在 3.1.0 之前，HTTPie 的 Session 机制未将 Cookie 绑定到设置它们的特定主机。这导致在发生重定向时，原本属于某主机的 Cookie 可能被泄露给第三方网站，构成了低严重性但不可忽视的安全风险。
- 修复内容：引入基于 RFC 6265 标准的 HTTP 状态管理机制，强制 Cookie 与主机绑定（Host-bound cookies）。
- 实际影响：当请求从
pie.dev重定向至第三方时，该 Cookie 将被正确丢弃，不再泄露。 - 安全标识：该漏洞已被分配 CVE ID
CVE-2022-24737和CVE-2022-0430。
基础设施升级：Session 文件自动化迁移
由于 Cookie 处理逻辑的改变，原有的 Session 文件格式已不再兼容。HTTPie 3.1.0 提供了专门的工具链来帮助用户无缝迁移数据：
- 单文件升级：使用
httpie cli sessions upgrade <domain> <file>升级特定会话。 - 批量升级：使用
httpie cli sessions upgrade-all一次性升级所有命名会话。
开发者体验 (DX) 重大改进
为了提升与第三方工具的互操作性，HTTPie 引入了全新的 export-args 命令，将 CLI 参数定义导出为机器可读的 JSON 格式。
- 功能描述：类似于 API 描述文件，暴露了所有可用选项、参数及其元数据。
- 应用场景：开发者可利用此功能自动生成 Shell 自动补全、构建交互式 Playground 或生成技术文档。
- 示例：
httpie cli export-args --format=json | jq '.spec.groups[].args[].options[0]'
此外，针对嵌套 JSON 的处理进行了语法规范化，正式支持顶层数组（Top-level arrays）作为 JSON 数据的封装器，并修复了多反斜杠转义（escaping）的 Bug。
界面与交互优化
HTTPie 重新设计了帮助信息输出，摒弃了冗长的参数列表，转而采用简洁的上下文感知模式。当检测到参数使用错误时，帮助信息会动态高亮显示正确的用法，显著降低了新手的使用门槛。
"We'd like to thank @glyph for responsibly disclosing the issue regarding the cookie handling." — HTTPie Team
此次更新标志着 HTTPie 在安全性与工程化能力上的双重跃升，为 API 调试工具树立了新的安全标杆。
