AWS跨服务调用场景下识别直接调用方的标准HTTP请求头选型咨询

Origin头的适配性说明 #

• Origin头确实不适合该场景：它是专门为浏览器跨域请求定义的标准头，仅会存储触发整条调用链路的根来源信息，不会传递链路中直接上游调用方的标识，非浏览器发起的服务间请求默认也不会携带该头，强行复用还可能和正常的跨域校验逻辑产生冲突。

推荐的适用头方案 #

你可以根据团队的规范从以下两种成熟方案中选择：

• 标准化方案（RFC规范定义）：使用RFC 7239定义的Forwarded头，该头的by参数专门用于标识请求的直接发送方。示例用法：服务A调用服务B时携带请求头 Forwarded: by="service-a"，你可以在服务B中解析该字段直接获取直接调用方标识。
• 轻量自定义方案（业界通用）：如果觉得Forwarded头解析成本高，业界普遍使用X-Caller-Id或X-Service-Name这类自定义头直接传递直接调用方的服务标识，实现简单直观，AWS内部多数服务间调用场景也采用该类实现。

注意：如果你的场景对调用方标识的可信度有要求，建议配合请求签名机制（比如AWS SigV4签名）使用，避免调用方标识被恶意伪造。

内容的提问来源于stack exchange，提问作者xiaoye