Java中重定向至其他服务器后如何获取源服务器的URL/主机名

嘿，这个问题问得好！当请求从源服务器（比如abc.com）重定向到你的pqr.com服务后，要获取源服务器的信息，主要得靠HTTP请求里的头信息或者自定义参数，下面给你几种实用的Java实现方案：

1. 利用Referer请求头（最直接但需注意局限性） #

浏览器在重定向请求时，通常会自动带上Referer请求头，记录发起重定向的原始页面URL。

• 在Java Web服务（Servlet、Spring MVC等）中，你可以这样获取并解析：

  // 在Servlet环境下
  String refererUrl = request.getHeader("Referer");
  if (refererUrl != null) {
      try {
          URL url = new URL(refererUrl);
          String originHost = url.getHost(); // 提取出abc.com
          String originProtocol = url.getProtocol(); // 获取http/https协议
          int originPort = url.getPort(); // 获取端口，默认80/443会返回-1
      } catch (MalformedURLException e) {
          // 处理URL格式错误的情况
          e.printStackTrace();
      }
  }
  

• 注意事项：
  • Referer头可能被用户通过浏览器设置禁用，或者被恶意篡改，所以不能作为唯一的校验依据，适合辅助验证场景。
  • 解析URL时一定要捕获MalformedURLException异常，避免程序崩溃。

2. 自定义重定向参数（最可靠的可控方案） #

既然Referer不可靠，不如在源服务器（abc.com）发起重定向时，主动在跳转URL中附加源信息参数，完全掌握控制权：

• 源服务器（abc.com）的重定向代码示例：

  // abc.com的Servlet重定向逻辑
  String targetUrl = "https://pqr.com/your-business-endpoint?origin=https://abc.com";
  response.sendRedirect(targetUrl);
  

• 目标服务器（pqr.com）的获取与校验代码：

  String origin = request.getParameter("origin");
  if (origin != null) {
      // 用白名单校验源的合法性
      Set<String> allowedOrigins = new HashSet<>(Arrays.asList("https://abc.com", "https://trusted-domain.com"));
      if (allowedOrigins.contains(origin)) {
          // 执行合法的业务逻辑
          System.out.println("请求来自可信源：" + origin);
      } else {
          // 拒绝非法请求
          response.sendError(HttpServletResponse.SC_FORBIDDEN, "Invalid origin source");
      }
  }
  

• 优点：完全可控，不受浏览器设置影响，安全性更高，适合需要严格校验的场景。

3. 代理场景下的Forwarded系列头（针对有反向代理的情况） #

如果你的pqr.com服务前面部署了反向代理（比如Nginx），可以配置代理服务器传递原始请求的源信息，常用的头有X-Forwarded-Host、Forwarded等：

• Java中获取并解析这些头的示例：

  // 获取代理传递的原始主机名
  String originalHost = request.getHeader("X-Forwarded-Host");
  
  // 解析标准Forwarded头（格式示例：host=abc.com;proto=https）
  String forwardedHeader = request.getHeader("Forwarded");
  if (forwardedHeader != null) {
      String[] parts = forwardedHeader.split(";");
      for (String part : parts) {
          String[] keyValue = part.trim().split("=");
          if ("host".equals(keyValue[0])) {
              originalHost = keyValue[1];
              break;
          }
      }
  }
  

• 注意事项：
  • 必须确保代理服务器是可信的，并且配置了仅允许代理传递这些头，否则恶意用户可以伪造头信息，导致校验失效。
  • 比如在Nginx中，可以添加配置proxy_set_header X-Forwarded-Host $host;来传递原始主机名。

• 无论用哪种方式获取源信息，都必须做合法性校验：将获取到的域名/URL与预设的白名单对比，拒绝不在白名单内的请求。
• 对于URL参数或请求头，要注意防范注入攻击，比如使用Apache Commons Validator的UrlValidator工具类来校验URL格式的合法性。

内容的提问来源于stack exchange，提问作者Manan Kapoor