Tomcat日志500错误：SAP Business One服务x-forwarded-for头异常

原因分析 #

• SAP Business One移动服务的Tomcat服务内置了x-forwarded-for头校验逻辑，要求该头的值必须包含服务预设的内部访问地址或外部公网地址。当前Sophos WAF转发请求时，x-forwarded-for头仅携带了客户端公网IP，未匹配SAP服务配置的地址列表，触发校验失败，抛出RuntimeException并返回HTTP 500错误。
• 直接NAT端口访问时，请求不经过WAF，不会生成x-forwarded-for头，或NAT设备的处理逻辑未触发SAP的校验规则，因此可以正常访问。

解决建议 #

1. 配置Sophos WAF生成合规的x-forwarded-for头 #

在Sophos WAF的反向代理规则中调整HTTP头设置，确保x-forwarded-for头包含SAP服务配置的内部或外部地址：

• 进入WAF的反向代理配置界面，找到对应SAP服务的代理规则
• 在HTTP头修改模块，添加或更新x-forwarded-for头，将SAP的内部地址（https://sapinternal:port/service/）或外部地址（https://sapextern.domain.com:port/service）追加到客户端IP之后，格式示例：客户端公网IP, https://sapextern.domain.com:port/service
• 保存配置并重启WAF代理服务

2. 调整SAP移动服务的校验规则（备选） #

若WAF配置受限，可修改SAP移动服务的Tomcat配置放宽校验：

• 找到SAP移动服务Tomcat的配置文件（通常为web.xml或服务自定义配置文件）
• 定位到x-forwarded-for头校验的相关参数，将客户端公网IP段加入允许列表；测试环境可临时关闭该校验（生产环境不推荐）
• 重启SAP移动服务的Tomcat进程

3. 验证配置效果 #

完成配置后执行以下验证：

• 查看SAP Tomcat日志，确认不再出现x-forwarded-for相关的RuntimeException
• 检查外部访问的HTTP响应状态码是否为200
• 测试移动服务核心功能（登录、数据查询等）是否正常运行

内容的提问来源于stack exchange，提问作者SapOverflow