302响应暴露应用服务器IP及端口，如何隐藏该敏感信息？

问题场景 #

登录功能正常，但调用Faces.redirect("index.xhtml")触发的302重定向响应中，Location头包含了应用服务器的IP地址和端口，被安全团队判定为敏感信息泄露。

解决方案 #

1. 直接使用带域名的绝对URL重定向 #

避免使用相对路径，直接指定包含域名的完整URL，这样Location头会直接返回域名，不会暴露后端IP端口：

try {
    connectedUser = _authService.login(login, password);
    // 使用绝对URL重定向（建议将域名配置在环境变量/配置文件中，避免硬编码）
    Faces.redirect("https://your-production-domain.com/index.xhtml");
} catch (AuthenticationException e) {
    captchaRequired = e.isRequireCaptcha();
    throw new BusinessException(e.getMessage());
}

2. 通过ExternalContext构造适配环境的绝对路径 #

利用JSF的ExternalContext动态获取请求的外部上下文信息，构造符合外部访问规则的绝对路径，适配开发/生产等不同环境：

try {
    connectedUser = _authService.login(login, password);
    
    ExternalContext ec = FacesContext.getCurrentInstance().getExternalContext();
    // 自动适配请求协议、主机名和上下文路径
    String baseUrl = ec.getRequestScheme() + "://" + ec.getRequestServerName() + ec.getRequestContextPath();
    ec.redirect(baseUrl + "/index.xhtml");
    
} catch (AuthenticationException e) {
    captchaRequired = e.isRequireCaptcha();
    throw new BusinessException(e.getMessage());
}

如果应用部署在反向代理（如Nginx）之后，需在代理服务器中设置X-Forwarded-Host、X-Forwarded-Proto等头，并在应用服务器（如Tomcat）中配置RemoteIpValve，确保getRequestServerName()返回外部访问的域名而非后端IP。

3. 反向代理层改写重定向头（生产环境推荐） #

生产环境通常会用Nginx、Apache等反向代理暴露服务，可直接在代理层配置改写302响应的Location头，将后端IP端口替换为外部域名。以Nginx为例：

server {
    listen 80;
    server_name your-production-domain.com;

    location / {
        proxy_pass http://backend-server-ip:port;
        # 自动替换后端返回的Location头中的IP端口为当前域名
        proxy_redirect http://backend-server-ip:port/ /;
        # 传递真实请求头给后端
        proxy_set_header Host $host;
        proxy_set_header X-Forwarded-For $remote_addr;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

这种方式无需修改应用代码，统一在代理层处理，是安全且易维护的方案。

4. 自定义过滤器拦截并重写响应头 #

若无法使用反向代理，可编写Servlet过滤器拦截所有302响应，修改Location头中的IP端口为指定域名：

public class RedirectRewriteFilter implements Filter {
    private String targetDomain;

    @Override
    public void init(FilterConfig filterConfig) throws ServletException {
        // 从web.xml配置读取目标域名
        targetDomain = filterConfig.getInitParameter("targetDomain");
    }

    @Override
    public void doFilter(ServletRequest request, ServletResponse response, FilterChain chain) throws IOException, ServletException {
        HttpServletResponseWrapper wrapper = new HttpServletResponseWrapper((HttpServletResponse) response) {
            @Override
            public void sendRedirect(String location) throws IOException {
                // 替换Location中的后端IP端口为目标域名
                if (location.startsWith("http://") || location.startsWith("https://")) {
                    location = location.replaceAll("http://[^/]+/", "http://" + targetDomain + "/");
                    location = location.replaceAll("https://[^/]+/", "https://" + targetDomain + "/");
                }
                super.sendRedirect(location);
            }
        };
        chain.doFilter(request, wrapper);
    }

    @Override
    public void destroy() {}
}

在web.xml中配置过滤器：

<filter>
    <filter-name>RedirectRewriteFilter</filter-name>
    <filter-class>com.yourpackage.RedirectRewriteFilter</filter-class>
    <init-param>
        <param-name>targetDomain</param-name>
        <param-value>your-production-domain.com</param-value>
    </init-param>
</filter>
<filter-mapping>
    <filter-name>RedirectRewriteFilter</filter-name>
    <url-pattern>/*</url-pattern>
</filter-mapping>

内容的提问来源于stack exchange，提问作者Hani Z.