L'analisi delle richieste HTTP è la fase in cui un server web, un reverse proxy o un framework applicativo trasforma una richiesta grezza in arrivo in parti strutturate come il metodo, il percorso, le intestazioni e il corpo. Si colloca al confine tra input di rete non fidato e logica applicativa, quindi gli errori in questa fase possono cambiare il modo in cui una richiesta viene compresa prima che vengano eseguiti eventuali controlli di sicurezza.
Questo è importante perché i bug di parsing possono creare lacune di sicurezza anche quando il codice dell'applicazione sembra corretto. Intestazioni ambigue, codifiche malformate o una gestione incoerente di content length e transfer chunked possono portare a request smuggling, confusione nel routing o uso eccessivo di risorse. Gli aggressori spesso sfruttano questi casi limite per aggirare i controlli o degradare il servizio. I difensori riducono il rischio usando parser ben testati, imponendo regole di protocollo rigorose, limitando la dimensione delle richieste e registrando le richieste anomale per l'analisi.