Rails、Spring和Jetty等Web框架默认信任Forwarded请求头，而大多数反向代理不会验证或删除该头部，导致客户端IP和主机名存在伪造风险。作者在配置Envoy反向代理时发现此问题，并将所有X-Forwarded-*和Forwarded头设为丢弃以缓解风险。
背景
RFC 7239定义了Forwarded头作为非标准的X-Forwarded-*头的标准化替代方案。然而在实践中，对于谁应该设置或信任这些头并没有统一的标准。
- 来源
- Lobsters
- 发布时间
- 2026年11月7日 14:18
- 评分
- 7.0 / 10