ASP.NET Core多租户PWA从HttpRequest.Host提取域名的安全风险咨询

1. Host值是否可以被伪造？ #

Host值完全可以被伪造，即使你的站点全程使用HTTPS也无法避免这个问题。
HTTPS的作用是保障请求在客户端到服务端的传输过程中不被窃听、篡改，但无法限制请求发起方主动修改请求头内容。攻击者可以通过工具直接自定义Host头发起请求，比如用curl命令就可以轻松构造：
curl -H "Host: www.fake-tenant.com" https://<你的服务端IP/域名>
ASP.NET Core默认没有对Host值做强制校验，如果你没有配置AllowedHosts限制允许的域名列表，服务端会直接接收任意Host值。因此绝对不能无条件信任从Host中提取的内容，必须先做合法性校验再进入业务逻辑。

2. 提取的域名作为查询条件是否存在SQL注入风险？ #

是否存在SQL注入风险和输入值的来源无关，只和你构造SQL语句的方式有关：

• 如果你使用参数化查询（比如EF Core的LINQ查询、ADO.NET带SqlParameter的查询），即使Host值被伪造携带了SQL注入payload，参数化机制会自动将输入作为纯字符串处理，不会被解析为SQL语法的一部分，不存在注入风险。
• 如果你直接手动拼接SQL语句，比如：

  // 错误写法，存在严重注入风险
  var sql = $"SELECT * FROM Tenant WHERE Name = '{extractedTenantName}'";
  

  攻击者可以构造带特殊符号的Host值，比如www.a'; DROP TABLE Tenant;--，拼接后直接执行就会造成数据泄露、数据删除等严重安全问题。

最佳实践建议 #

• 先校验Host合法性：拿到Host提取租户名后，先和系统中已存在的租户域名白名单做匹配，不存在的直接返回400/404响应，不进入后续业务流程。
• 强制所有数据库查询使用参数化方式，禁止手动拼接SQL语句。
• 可额外增加格式校验：按照你的域名提取规则，限制提取的租户名仅允许包含合法域名字符（字母、数字、短横线等），过滤掉单引号、分号、SQL注释符等特殊字符。

内容的提问来源于stack exchange，提问作者John