生产环境下移除localhost主机值的技术问题求助

原理分析 #

你遇到的localhost出现在主机值里，主要有这几个原因：

• 本地环回请求：如果请求是从服务器内部发起的（比如监控脚本、应用自身的健康检查、本地测试请求），这类请求的Host头就是localhost，而如果没有X-Forwarded-Host头，代码就会直接取到这个值。
• IIS绑定残留：虽然你移除了*:80绑定，但IIS可能还存在localhost相关的具体绑定（比如localhost:80或带其他端口的localhost绑定），这类绑定会让IIS接收localhost发起的请求，进而返回对应的Host值。
• 请求未经过代理：如果生产环境有反向代理，但部分请求绕过了代理直接访问IIS，这类请求不会带上X-Forwarded-Host，只能取到请求自身的Host头，若请求是用localhost访问的就会出现问题。

可行解决方案 #

1. 在代码层过滤无效主机值 #

直接在获取主机值后添加校验逻辑，只保留你的合法域名，其他情况替换为默认域名或者拦截请求：

if(!request.Headers.TryGetValue("X-Forwarded-Host", out var host))
    host = request.Host.Value;

// 定义你的合法域名集合
var allowedHosts = new HashSet<string> { "your-first-domain.com", "your-second-domain.com" };
// 校验并修正主机值
if (!allowedHosts.Contains(host))
{
    // 替换为默认合法域名
    host = "your-first-domain.com";
    // 若需拦截非法请求，可返回400
    // return new BadRequestResult();
}

2. 清理IIS的所有无效绑定 #

进入IIS管理器，找到你的站点，查看所有绑定条目：

• 删除任何包含localhost的绑定（不管是80端口还是其他端口）
• 只保留你两个域名的绑定，确保没有其他多余的IP或主机名绑定

3. 强制所有请求经过反向代理 #

如果生产环境使用了反向代理（如Nginx、Cloudflare等）：

• 配置代理服务器强制传递X-Forwarded-Host头，值设置为你的域名
• 在IIS中配置IP限制，只允许代理服务器的IP访问你的站点，阻止直接访问IIS的请求，从根源避免未带正确Host头的请求进入

4. 处理内部健康检查请求 #

如果localhost来自应用自身的健康检查：

• 修改健康检查的请求逻辑，手动指定Host头为你的合法域名
• 或者在健康检查的请求分支里，跳过主机值的异常记录，直接使用预设的域名

内容的提问来源于stack exchange，提问作者Vinceenzo