Node+Express代理管道请求时传递获取到的URL的实现疑问

嘿，看了你的代理实现思路，整体框架已经很清晰了——通过客户端请求里的url参数指定目标地址，用Axios转发请求，还考虑了请求头和响应头的过滤，这个方向是对的。我帮你把代码补全并梳理下关键细节，让它能正常跑起来：

完整可运行代码 #

const express = require('express');
const axios = require('axios');
// 统一使用CommonJS规范（如果是ES模块环境，可换成import并配置package.json的type为module）
const { Request: ExpressRequest, Response: ExpressResponse } = require('express');

const VERBOSE = true;

// 需要过滤的请求头：这些头由代理/服务器自动处理，转发会导致目标服务识别异常
const FORBIDDEN_REQ_HEADERS = [
    "host", "x-forwarded-for", "x-forwarded-host", "x-forwarded-proto", "x-forwarded-port", "forwarded"
];

// 需要过滤的响应头：这些头由Express自身管理，直接转发会导致客户端解析错误
const FORBIDDEN_RES_HEADERS = [
    "content-length", "content-encoding", "transfer-encoding", "content-security-policy-report-only", "content-security-policy"
];

// 默认添加的响应头：解决跨域问题，让前端能正常接收代理响应
const DEFAULT_RES_HEADERS = {
    "access-control-allow-origin": "*",
    "access-control-allow-methods": "GET, POST, PUT, DELETE, OPTIONS",
    "access-control-allow-headers": "Content-Type, Authorization"
};

const app = express();

// 解析客户端请求体，支持JSON和表单格式
app.use(express.json());
app.use(express.urlencoded({ extended: true }));

// 处理所有请求的核心代理逻辑
app.all('*', async (req: ExpressRequest, res: ExpressResponse) => {
    try {
        // 从查询参数中获取目标URL
        const targetUrl = req.query.url as string;
        if (!targetUrl) {
            return res.status(400).send('请求缺少必要的"url"查询参数');
        }

        // 过滤掉禁止转发的请求头，避免干扰目标服务
        const filteredReqHeaders = Object.fromEntries(
            Object.entries(req.headers).filter(([key]) => !FORBIDDEN_REQ_HEADERS.includes(key.toLowerCase()))
        );

        // 构建Axios请求配置，复用客户端的请求方法、请求体和过滤后的请求头
        const axiosConfig = {
            method: req.method,
            url: targetUrl,
            headers: filteredReqHeaders,
            data: req.body
        };

        // 调试模式下打印转发日志
        if (VERBOSE) {
            console.log(`正在转发请求到目标地址：${targetUrl}，请求配置：`, axiosConfig);
        }

        // 发送请求到目标服务
        const axiosResponse = await axios(axiosConfig);

        // 过滤掉禁止返回给客户端的响应头
        const filteredResHeaders = Object.fromEntries(
            Object.entries(axiosResponse.headers).filter(([key]) => !FORBIDDEN_RES_HEADERS.includes(key.toLowerCase()))
        );

        // 合并默认响应头和目标服务返回的响应头
        const finalResHeaders = { ...DEFAULT_RES_HEADERS, ...filteredResHeaders };

        // 将目标服务的响应返回给客户端
        res.status(axiosResponse.status).set(finalResHeaders).send(axiosResponse.data);
    } catch (error) {
        // 错误处理：打印日志并返回目标服务的错误信息或默认错误
        if (VERBOSE) {
            console.error('代理请求失败：', error);
        }
        const errorStatus = error.response?.status || 500;
        const errorData = error.response?.data || '代理请求失败，请检查目标地址是否有效';
        res.status(errorStatus).send(errorData);
    }
});

// 启动代理服务
const PORT = 3000;
app.listen(PORT, () => {
    console.log(`代理服务已启动，运行地址：http://localhost:${PORT}`);
});

关键细节说明 #

• 请求头过滤：剔除host、x-forwarded-*这类头是因为它们是代理链路相关的标识，直接转发会让目标服务误以为请求来自代理服务器而非实际客户端，导致主机识别、IP溯源等问题。
• 响应头处理：过滤content-length等头是因为Express会根据实际返回的内容自动计算这些值，强行转发目标服务的头会导致客户端解析响应时出现不匹配的错误；添加CORS头则是为了让前端能跨域调用这个代理服务。
• 请求体解析：必须添加express.json()和express.urlencoded()中间件，否则无法解析客户端发送的JSON或表单格式的请求体，也就没法把body转发给目标服务。
• 安全提醒：当前实现允许转发任意URL，存在SSRF（服务器端请求伪造）的风险，建议添加域名白名单，只允许转发到你信任的域名下，比如：

  const ALLOWED_DOMAINS = ['example.org', 'your-trusted-domain.com'];
  const urlObj = new URL(targetUrl);
  if (!ALLOWED_DOMAINS.includes(urlObj.hostname)) {
      return res.status(403).send('禁止转发到该域名');
  }
  

备注：内容来源于stack exchange，提问作者Lava