本地访问远程VM中NiFi服务报无效Host请求头错误如何解决

这个报错是Apache NiFi 1.12及以上版本默认启用的Host请求头校验机制触发的拦截，和请求篡改、第三方拦截没有直接关系，核心原因是NiFi当前配置的合法Host白名单为空，你发起请求时携带的Host头为[:]（通常是IPv6空地址标识、反向代理/端口映射透传Host头失败导致的异常值），不在允许范围内所以被拦截。

• 先确认本地访问NiFi的实际访问地址，比如http://<VM公网IP>:8080/nifi，同时打开浏览器F12开发者工具，切到网络tab，重新触发登录请求，查看请求头里Host字段的实际值，记录下来
• 登录部署NiFi的远程虚拟机，进入NiFi安装目录下的conf文件夹，打开nifi.properties配置文件，核对以下配置项的当前值：
  • nifi.web.http.host/nifi.web.https.host：NiFi服务监听的网卡地址，配置为0.0.0.0仅代表监听所有网卡的请求，不等同于允许所有Host头访问
  • nifi.web.http.port/nifi.web.https.port：NiFi实际监听的服务端口
  • nifi.web.proxy.host：反向代理、端口映射、SSH隧道等转发场景下的合法Host白名单配置项
• 如果你是通过Nginx反向代理、SSH隧道、云平台端口映射方式访问VM内的NiFi，优先检查转发链路有没有正确透传Host头，透传失败时很容易出现空Host、[:]这类异常值。

根据你的访问场景选对应方案操作即可：

无代理直连VM场景 #

1. 编辑conf/nifi.properties，将nifi.web.http.host（HTTPS部署则修改nifi.web.https.host）配置为你访问时使用的VM实际IP/域名，比如nifi.web.http.host=192.168.3.14，端口项和你实际使用的访问端口保持一致
2. 如果你需要同时允许本地localhost、VM内网IP等多个地址直连，把这些地址对应的host:port组合，追加到nifi.web.proxy.host配置项里，多个值用英文逗号分隔，例如：

   nifi.web.proxy.host=localhost:8080,127.0.0.1:8080,192.168.3.14:8080
   

3. 进入NiFi安装目录的bin文件夹，执行./nifi.sh restart重启服务，等待服务完全启动后重新访问即可。

反向代理/端口映射/SSH隧道访问场景 #

1. 先把之前在浏览器F12里查到的实际请求Host值，追加到nifi.properties的nifi.web.proxy.host配置项中
2. 修正转发链路的Host头透传配置：如果是Nginx反向代理，在Nginx的转发location块中添加如下配置，避免传空Host：

   proxy_set_header Host $host:$proxy_port;
   

   如果是SSH隧道、端口映射场景，确认访问地址的端口和NiFi实际监听端口一致，不要随意做端口转换导致Host头端口和实际服务端口不匹配
3. 重启NiFi服务，清空浏览器缓存后重新访问即可恢复正常。

• 生产环境不要为了省事直接放开所有Host校验，这个校验是NiFi默认开启的Host头攻击防护手段，建议精确配置需要允许的Host列表，不要配置全量允许
• 如果是Docker容器部署的NiFi，需要通过挂载配置文件、传入对应环境变量的方式修改容器内的nifi.properties配置，不要直接在运行容器内修改，避免容器重启后配置失效
• 报错提示里的“检查请求篡改或第三方拦截”是默认通用提示，90%以上的该类报错都是配置问题，不需要优先排查防火墙、中间人拦截类问题。

内容的提问来源于stack exchange，提问作者Richard Silva