ASP.NET Core 3.1 WebApi请求头Host/Referer/Origin取值为null的排查与解决

• 反向代理的头剥离机制：线上WebApi一般前置Nginx、云网关、IIS反向代理等转发层，这类组件默认出于安全、性能策略，会在转发请求到后端服务时清洗原始请求头，没有配置透传规则的情况下，Host、Referer、Origin字段会被直接丢弃，不会传到后端服务。
• ASP.NET Core转发头中间件缺失：即便反向代理通过自定义头（如X-Forwarded-Host）透传了原始请求信息，ASP.NET Core默认不会自动解析这类透传头，会直接把反向代理的内部地址作为请求来源，不会从原始请求头集合里匹配到目标字段，最终TryGetValue返回null。
• 非浏览器请求的头缺失：如果调用方是后端服务（比如配套的ASP.NET Core 3.1调用项目）直接发起的HTTP请求，默认的HttpClient、WebRequest组件不会自动生成Referer、Origin头——这两个头是浏览器环境下由浏览器自动附加的安全字段，非浏览器服务端请求不带这两个字段属于正常情况。
• Host头的特殊转发规则：HTTP协议规定Host是请求目标字段，反向代理默认会把后端服务的内部地址填充到Host头转发给后端，而非保留客户端原始请求的Host值，若没有配置proxy_set_header Host $host这类规则，后端拿到的Host值既不是客户端域名，也可能因为头被替换导致取值为null。
• WAF/安全组件的拦截策略：跨域场景下，服务前置的Web应用防火墙为了规避跨域风险，可能会直接过滤掉Origin、Referer字段，甚至拦截未配置白名单的跨域请求，导致请求头无法到达后端。

服务端前置配置 #

• 管道最前方注册转发头中间件，确保能正确解析反向代理透传的原始请求信息：

  app.UseForwardedHeaders(new ForwardedHeadersOptions
  {
      ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedHost | ForwardedHeaders.XForwardedProto
  });
  

  注意该中间件必须放在UseRouting、UseAuthorization、业务接口管道之前注册，否则不生效。
• 同步配置反向代理的请求头透传规则，确保客户端原始请求头能完整到达后端（以Nginx为例）：

  proxy_set_header Host $host;
  proxy_set_header Referer $http_referer;
  proxy_set_header Origin $http_origin;
  proxy_set_header X-Forwarded-Host $host;
  

  关闭反向代理不必要的请求头清洗策略，避免目标字段被过滤。

不同客户端场景的传值规则 #

• 浏览器端跨域调用：不需要手动在JS里设置Origin、Referer头——这两个头是浏览器安全规则强制自动附加的，手动修改这类头会被浏览器直接拦截。只要确保服务端正确配置CORS允许对应来源，没有广告拦截插件、隐私模式删除Referer字段，请求到达后端时这两个头会自动存在。
• 服务端（如ASP.NET Core 3.1调用项目）发起后端请求：必须手动在请求消息里显式附加相关头，不能依赖组件自动生成。示例代码：

  var request = new HttpRequestMessage(HttpMethod.Get, "https://你的WebApi服务地址");
  // 手动指定调用方的公网域名到Host头
  request.Headers.Host = "caller.example.com";
  // 手动设置Referer为当前调用方的请求来源地址
  request.Headers.Referrer = new Uri("https://caller.example.com/biz/path");
  // 手动添加Origin头，服务端请求默认不会自动携带
  request.Headers.Add("Origin", "https://caller.example.com");
  

• 业务逻辑兜底优化：取值时增加空引用判断，优先使用可信度最高的头字段识别客户端域名，避免null值导致的运行错误：

  Request.Headers.TryGetValue("Host", out var traceValueHost);
  Request.Headers.TryGetValue("Referer", out var traceValueReferer);
  Request.Headers.TryGetValue("Origin", out var traceValueOrigin);
  // 按可信度从高到低取有效值作为客户端域名标识
  var clientDomain = traceValueOrigin.FirstOrDefault() 
                     ?? traceValueReferer.FirstOrDefault() 
                     ?? traceValueHost.FirstOrDefault();
  

内容的提问来源于stack exchange，提问作者Mertez