You need to enable JavaScript to run this app.
最新活动
大模型
产品
解决方案
定价
生态与合作
支持与服务
开发者
了解我们

阻止Host头注入的.htaccess规则在URL无末尾斜杠时失效的问题求助

阻止Host头注入的.htaccess规则在URL无末尾斜杠时失效的问题求助

我在XAMPP上部署了一个应用,访问URL是https://abc.example.com/pps/prd/,并且在pps/prd/目录下放置了.htaccess文件用来阻止Host头注入,文件内容如下:

RewriteEngine On

RewriteCond %{HTTP_HOST} !^([a-zA-Z0-9-_]{1,20}.){0,3}example.com$

RewriteRule ^ - [F]

目前的情况是:当我访问带末尾斜杠的URL https://abc.example.com/pps/prd/ 时,如果请求头里带了其他Host(比如example123.com),服务器会返回403禁止访问,这和预期一致。

但遇到了一个问题:当我访问不带末尾斜杠的URL https://abc.example.com/pps/prd 时,同样在请求头里带上example123.com作为Host,服务器会返回301永久重定向,并且重定向的目标是https://example123.com/pps/prd/——这完全不符合预期,相当于绕过了Host头的检查,把请求导向了恶意Host。

有没有办法修改.htaccess规则,让不带末尾斜杠的URL请求也能正确触发Host头检查,避免这种不正确的重定向?

备注:内容来源于stack exchange,提问作者utsav

火山引擎 最新活动