使用pytest伪造HTTP Host头及Django自定义权限安全性评估问题

伪造HTTP_HOST头的门槛 #

你在测试中可以自定义请求头通过校验，任意攻击者都可以用极低成本实现同样操作，没有任何技术门槛：

• 使用curl发起请求时，直接添加-H "Host: myhost.de"参数即可
• Postman、Apifox等接口调试工具支持可视化添加自定义Host头
• 所有编程语言的HTTP请求库都原生支持自定义请求头参数

该权限校验逻辑本质是将验证规则完全交给客户端自行申报，没有任何可信校验环节，单独使用无安全性可言。

MyPermission权限方案的风险评估 #

该方案的安全性完全依赖服务部署架构：

• 高风险场景：如果Django服务直接暴露在公网，或者前置反向代理没有做严格的Host头校验，攻击者只要在请求中携带Host: myhost.de头即可直接绕过权限控制，该权限类完全失效。
• 唯一可用场景：只有当Django前置了可信的反向代理（如Nginx），且代理已配置规则：仅转发Host为myhost.de的请求到Django，其余Host请求直接拦截返回4xx错误。这种场景下该权限类属于冗余校验，不会产生安全问题，但也没有额外防护价值。

优化方案建议 #

根据实际业务需求选择对应的安全控制方案：

• 若要限制指定客户端可访问：改用API密钥、JWT、OAuth2等标准身份校验方案，不要依赖客户端可控的请求头做权限判断。
• 若要限制指定IP/IP段可访问：在反向代理层配置IP白名单，或在Django中读取可信客户端IP（存在反向代理时需配置USE_X_FORWARDED_HOST = True且仅信任代理IP，避免X-Forwarded-For头伪造）做校验。
• 若确实需要做域名区分校验：校验逻辑必须前置到反向代理层实现，不能仅依赖Django层的判断。

额外提示：你贴出的MyPermission代码末尾多了一个多余的右括号，运行时会触发语法错误，需要删除。

内容的提问来源于stack exchange，提问作者shadow