Spring Security StrictHttpFirewall配置localhost白名单仍遭拒绝问题

你遇到的问题核心在于StrictHttpFirewall的主机名校验规则与实际请求的Host头不匹配，结合你的环境（Windows 11 + Spring Boot 2.3.12），具体原因和解决方法如下：

1. 多次调用setAllowedHostnames的规则覆盖问题 #

StrictHttpFirewall的setAllowedHostnames是替换型方法，每次调用都会覆盖之前的规则。如果你的代码里多次调用该方法，只有最后一次设置的规则会生效。如果确认最终仅保留了localhost的校验规则，那问题不在此，继续排查其他原因。

2. Windows环境下请求Host头被解析为本地主机名 #

在Windows系统中，即使你用http://localhost:8083发起请求，部分场景下请求的Host头可能被解析为你的主机名DESKTOP-84LARLB（比如网络配置或DNS解析的隐性映射）。而StrictHttpFirewall在校验时会自动去掉Host头中的端口，提取纯主机名——如果实际Host是DESKTOP-84LARLB:8083，提取后为DESKTOP-84LARLB，自然不匹配你设置的白名单localhost。

验证方法： #

添加一个过滤器打印实际请求的Host头：

@Component
public class HostDebugFilter extends OncePerRequestFilter {
    @Override
    protected void doFilterInternal(HttpServletRequest request, HttpServletResponse response, FilterChain chain) throws ServletException, IOException {
        System.out.println("实际请求Host头：" + request.getHeader("Host"));
        chain.doFilter(request, response);
    }
}

启动服务后用Postman发起请求，查看控制台输出的Host值，即可确认是否是该问题。

3. Host头大小写不匹配 #

如果请求的Host头是Localhost（首字母大写），而你的校验规则用的是host.equals("localhost")，会因大小写不匹配被拒绝。

解决方案 #

针对上述问题，对应修复方式如下：

方式一：扩展白名单，覆盖本地所有合法主机名 #

修改StrictHttpFirewall配置，同时允许localhost、本地主机名及回环地址，并忽略大小写：

@Bean
public StrictHttpFirewall strictHttpFirewall() {
    StrictHttpFirewall firewall = new StrictHttpFirewall();
    firewall.setAllowedHostnames(host -> 
        host.equalsIgnoreCase("localhost") || 
        host.equalsIgnoreCase("DESKTOP-84LARLB") ||
        host.startsWith("127.") // 允许所有回环IP对应的主机名
    );
    return firewall;
}

方式二：复用Spring Security默认的本地主机校验逻辑 #

如果不需要自定义严格规则，可以直接使用框架默认的本地主机校验逻辑：

@Bean
public StrictHttpFirewall strictHttpFirewall() {
    StrictHttpFirewall firewall = new StrictHttpFirewall();
    // 启用默认的本地主机允许规则
    firewall.setAllowedHostnames(StrictHttpFirewall::isLocalhost);
    return firewall;
}

方式三：临时关闭主机名校验（仅测试用，生产环境禁止） #

如果只是测试阶段需要快速验证，可以暂时允许所有主机名：

@Bean
public StrictHttpFirewall strictHttpFirewall() {
    StrictHttpFirewall firewall = new StrictHttpFirewall();
    firewall.setAllowedHostnames(host -> true);
    return firewall;
}

内容的提问来源于stack exchange，提问作者Đỗ Như Vỹ