Symfony 6：如何安全替换已删除的Request::HEADER_X_FORWARDED_ALL常量（AWS ELB）

正确配置代码 #

// 应用仅部署在AWS ELB后方，信任所有连接的代理（ELB）
Request::setTrustedProxies(['REMOTE_ADDR'],
    Request::HEADER_X_FORWARDED_AWS_ELB
    | Request::HEADER_X_FORWARDED_FOR
    | Request::HEADER_X_FORWARDED_HOST
    | Request::HEADER_X_FORWARDED_PORT
    | Request::HEADER_X_FORWARDED_PROTO
);

配置说明 #

• HEADER_X_FORWARDED_AWS_ELB：适配AWS ELB特有的转发头解析规则，确保正确识别ELB发送的自定义头格式
• HEADER_X_FORWARDED_FOR：获取真实客户端IP，解决仅用ELB专属常量时IP识别不全的问题
• HEADER_X_FORWARDED_HOST：保证应用正确识别请求的Host头，避免生成错误的内部链接或路由跳转
• HEADER_X_FORWARDED_PORT：适配ELB转发的端口信息，确保URL生成和路由逻辑符合实际请求端口
• HEADER_X_FORWARDED_PROTO：识别请求的HTTP/HTTPS协议，这对HTTPS链接生成、强制HTTPS重定向等逻辑至关重要

为什么之前的尝试有问题 #

• 仅用HEADER_X_FORWARDED_FOR：只处理了客户端IP，但协议、Host等核心请求上下文仍使用ELB的信息，会导致应用生成HTTP链接（而非用户实际访问的HTTPS）、Host错误等问题
• 单独用HEADER_X_FORWARDED_AWS_ELB：ELB专属掩码未覆盖所有基础请求头的解析逻辑，导致部分上下文丢失，无法满足应用的完整需求
• 全量组合所有常量：引入了Traefik、网关专属的头解析规则，AWS ELB不会发送这些头，反而增加不必要的解析负担，甚至可能引入潜在安全风险

注意事项 #

• 确保应用完全通过ELB对外提供服务，无直接公网暴露，此时使用['REMOTE_ADDR']信任所有连接代理才是安全的，否则存在IP伪造风险
• 若后续ELB配置变更（新增转发头），再对应添加Symfony提供的对应常量即可
• 可在生产环境临时开启调试日志，检查$request->getClientIp()、$request->getScheme()、$request->getHost()等方法的返回值，验证配置有效性

内容的提问来源于stack exchange，提问作者Blackbam