HTTP的X-Forwarded-*系列header

最新推荐文章于 2024-07-01 21:43:04 发布
最新推荐文章于 2024-07-01 21:43:04 发布
阅读量5.5k 收藏 5
点赞数
分类专栏： 云计算
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/juewuer/article/details/104850405
版权
本文介绍了HTTP的Forwarded和X-Forwarded-*系列头部字段，主要用于在代理服务器和负载均衡场景下追踪原始客户端信息。重点讲解了Forwarded头的语法和用途，以及X-Forwarded-For头如何表示客户端IP，强调了这些头部在处理用户隐私时的注意事项。同时提到了X-Forwarded-Port的非标准使用情况，并讨论了从X-Forwarded-For向Forwarded迁移的过程。
摘要由CSDN通过智能技术生成

文章目录

简介

在互联网上，有各种代理服务器介入转发HTTP请求，但是也修改了报文格式，因此增加了额外的字段包含原始信息。

2014年，RFC7239 中定义了Forwarded这个http首部1字段，标准化了其格式和含义。

但是在这之前互联网上的代理服务器已经大量使用了X-Forwarded-* 系列首部，比如 X-Forwarded-For 、 X-Forwarded-Host 以及X-Forwarded-Proto这三个首部，其含义已经成为既成标准

Forwarded2

Forwarded 首部中包含了代理服务器的客户端的信息，即由于代理服务器在请求路径中的介入而被修改或丢失的信息。

这个消息首部会被用来进行调试和统计，以及生成基于位置的定制化内容，按照设计的目的，它会暴露一定的隐私和敏感信息，比如客户端的IP地址。所以在应用此消息首部的时候，需要将用户的隐私问题考虑在内。

语法

Forwarded: by=<identifier>; for=<identifier>; host=<host>; proto=<http|https>

  1. <identifier>
    一个 identifier 显示了在使用代理的过程中被修改或者丢失的信息。它们可以是以下几种形式：
    一个IP地址（V4 或 V6，端口号可选，ipv6 地址需要包含在方括号里面，同时用引号括起来），
    语意不明的标识符（比如 “_hidden” 或者 “_secret”）,
    或者是 “unknown”，当当前信息实体不可知的时候（但是你依然想要说明请求被进行了转发）。
  2. by=<identifier>
    该请求进
最低0.47元/天 解锁文章
juewuer
关注
专栏目录
X-Forwarded-For
ChanCherry的博客
04-09 948
简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP 代理或者负载均衡服务器时才会添加该项（百度百科：用来识别通过HTTP代理或负载均衡方式连接到Web服务器的客户端最原始的IP地址的HTTP请求头字段）。 如果没有XFF或者另外一种相似的技术，所有通过代理服务器的连接只会显示代理服务器的IP地址，而非连接发起的原始IP地址，这样的代理服务器实际上充当了匿名服务提供者...
X-Forwarded
qq_41045651的博客
04-11 2050
X-Forwarded-* 是一系列HTTP请求头，用于标识请求在传输过程中经过了哪些代理服务器。这些头部信息通常由反向代理服务器添加到请求中，以帮助应用程序识别客户端的真实IP地址和其他相关信息。
HTTP协议头中X-Forwarded-For是能做什么?
最新发布
xianweijian的博客
07-01 864
只要nginx前端（例如lvs， varnish）转发请求给nginx的时候，带了x-forwarded-for ,那么程序就一定能读到这个字段，如果nginx还设置了proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for， 那么程序能读到XFF是：ip0, ip1 (客户端Ip，lvs或者varnishIP)。如果nginx没有设置，那么nginx还是会原样把http头传给程序，也就是说程序也能读到XFF，而且XFF就是ip0 客户端IP。
HTTP的X-Forwarded-*系列header在nginx，弹性负载均衡中的应用
kingu_crimson的博客
04-15 7491
目录 问题概述 Forwarded 问题分析 X-Forwarded-Port 解决方法 参考文档 问题概述 近期开发因为一个请求的端口号问题找上了我，先贴代码 这个应用的链路是流量到nginx后进行一次转发，转发到slb上，再负载到后端两台服务器。 可以看到，代码中直接从请求获取到的server port，本来应该是获取到源客户端做请求使用的端口号，也就是当浏览器使用https协议并且路由到nginx时，nginx通过该部分配置加入了server_port的值为443
HTTP X-Forwarded-For 介绍
07-29 4062
X-Forwarded-For是一个HTTP扩展头部。HTTP/1.1（RFC2616）协议并没有对它的定义，它最开始是由Squid这个缓存代理软件引入，用来表示HTTP请求端真实IP。如今它已经成为事实上的标准，被各大HTTP代理、负载均衡等转发服务广泛使用，并被写入RFC7239（ForwardedHTTPExtension）标准之中。X-Forwarded-For请求头格式非常简单，就这样。...
HTTP 请求头中的 X-Forwarded-For，X-Real-IP（nginx）
热门推荐
xqhys的博客
08-17 3万+
转发：https://www.cnblogs.com/diaosir/p/6890825.html 在使用nginx做反向代理时，我们为了记录整个的代理过程，我们往往会在配置文件中做如下配置: location / {        省略...         proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;       ...
X-Forwarded-For Nginx 文档整理
01-18
根据RFC 7239，`X-Forwarded-For`头包含一系列用逗号分隔的IP地址，表示请求从客户端到服务器经过的每个代理节点的IP。 假设一个HTTP请求经过三个代理Proxy1、Proxy2、Proxy3，最后到达服务器，它们的IP分别为IP1、...
【HTTP协议系列4】服务器日志之X_Forwarded_For
安全曼巴2020
11-14 2505
X_Forwarded_For X-Forwarded-For：简称XFF头，它代表客户端，也就是HTTP的请求端真实的IP，只有在通过了HTTP代理或者负载均衡服务器时才会添加该项。它不是RFC中定义的标准请求头信息，在squid缓存代理服务器开发文档中可以找到该项的详细介绍。Squid缓存代理服务器的开发人员最早引入了这一HTTP头字段，并由IETF在Forwarded-For HTTP
Istio 中实现客户端源 IP 的保持
吉小白的博客
06-17 620
作者 尹烨，腾讯专家工程师， 腾讯云 TCM 产品负责人。在 K8s、Service Mesh 等方面有多年的实践经验。 导语 对于很多后端服务业务，我们都希望得到客户端源 IP。云上的负载均衡器，比如，腾讯云 CLB 支持将客户端源IP传递到后端服务。但在使用 istio 的时候，由于 istio ingressgateway 以及 sidecar 的存在，后端服务如果需要获取客户端源 IP，特别是四层协议，情况会变得比较复杂。 正文 很多业务场景，我们都希望得到客户端源 IP。云上负载均衡器，比如，腾讯
Kong系列-09-Kong Ingress Controller介绍和入门
twingao的专栏
01-22 5217
Kong之前都是使用Admin API来进行管理的，Kong主要暴露两个端口管理端口8001和代理端口8000，管理Kong主要的是为上游服务配置Service、Routes、Plugins、Consumer等实体资源，Kong按照这些配置规则进行对上游服务的请求进行路由分发和控制。在Kubernetes集群环境下，Admin API方式不是很适应Kubernetes声明式管理方式。所以Kong在...
关于 X-Forward-
e5pool的博客
02-19 1935
刚刚有个需求，如何获取访问者的真实IP，找到一个方法，可以通过请求头里的 X-Forwarded-For 字段来获取到。然后就了解下 X-Forward- 的细节。
nginx负载转发源请求http/https:X-Forwarded-Proto及nginx中的转发报头
陈万洲的专栏
04-01 1842
今天在排查服务器的问题时最后定位到服务器因为经过了运维这一层的处理，转发过来的请求不管用户请求的是https还是http，我们的proxy服务器收到的都是80端口上的http。公司用的也是标准报头，即X-Forwarded-Proto。后端的服务器如果要确定客户端和负载平衡器之间使用的协议，可以使用。X-Forwarded-Proto（XFP）报头是用于识别协议HTTP或HTTPS的，即。的用户自定义header的，但是需要在http或者server下使用。向后端服务器发送字段。在后端的服务器，使用。
x-Forwarded-For
weixin_33810302的博客
04-05 344
2019独角兽企业重金招聘Python工程师标准>>> ...
HTTP 请求头中的 X-Forwarded-For
赶路人儿
08-01 2万+
通过名字就知道，X-Forwarded-For 是一个 HTTP 扩展头部。HTTP/1.1（RFC 2616）协议并没有对它的定义，它最开始是由 Squid 这个缓存代理软件引入，用来表示 HTTP 请求端真实 IP。如今它已经成为事实上的标准，被各大 HTTP 代理、负载均衡等转发服务广泛使用，并被写入 RFC 7239（Forwarded HTTP Extension）标准之中。X-Forwarded-For 请求头格式非常简单，就这样： X-Forwarded-For: client, prox
Asp.NET Core Nginx Ocelot ForwardedHeaders X-Forwarded-For
dianjiong1915的博客
06-21 838
ocelot在部署时我使用了nginx作为转发，并配置了https证书，但是发现ocelot不支持Forward host header。 https://ocelot.readthedocs.io/en/latest/introduction/notsupported.html 这时候我就有了个疑问，Forward host header到底时什么含义？于是便有了本文。 nginx等代...
HTTP请求头X-Forwarded-For，Remote_Addr
诗人不写诗
05-31 2768
HTTP协议定义了很多头部参数，这些参数由请求的发起方和响应方设置，所以头部参数可以分为请求头和响应头，通信双方（浏览器和服务器）会去读取这些头部参数并做出对应的的动作。如果有人不按协议设置这些参数，就可以达到一些非法的目的。 X-Forwarded-For起源 xxf这个请求头，很多应用层在使用，所以这里必须要了解他的意义。X代表这是一个扩展的头参数。事实也正是如此，最开始xxf是Squid cache这个缓存代理服务软件自定义的一个头部参数，用来标识请求的源IP。后来，xxf的使用范围越来越广泛，被
HTTP 请求头中的 X-Forwarded-For（XFF）
义臻的博客
03-12 3万+
在Java代码实践中，有两种方式可以从HTTP请求中获得请求者的IP地址。一个是从Remote Address中获得，另一个是从X-Forward-For中获得，但他们的安全性和使用场景各有不同。一旦用错，就可能为系统造成漏洞。因此，需要开发者对这两个参数深入的理解。 Remote Address代表的是当前HTTP请求的远程地址，即HTTP请求的源地址。HTTP协议在三次握手时使用的就是这个R...
Web应用程序漏洞-X-Forwarded-For注入
旺仔Sec&blog
07-20 3302
第二十八步，重新审阅刚刚获取os-shell时的日志，发现sqlmap在网站根目录下放置了一个tmpunjoh.php文件（文件名为随机，请注意），可以用于手动上传文件。可以看到，我们从X-Forwarded-For定义的内容，未经过筛选就执行了SQL语句用于查询该IP地址是否在白名单之内，且。第五步，一分钟后扫描结束，切换至Results标签页，可以看到/admin目录被扫描出来，推测该目录为管理员后台地址。第十六步，在BurpSuite中将X-Forwarded-For的值改为一个单引号（’）尝试。
这段nginx配置什么意思：server { server_name baidu; listen localhost:88; location / { proxy_pass www.baidu.com; proxy_set_header Host $host; proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Host $http_host; proxy_set_header X-Forwarded-Port $server_port; proxy_set_header X-Forwarded-Proto $scheme; add_header Access-Control-Allow-Origin *; add_header Access-Control-Allow-Methods *; add_header Access-Control-Allow-Headers *; add_header Access-Control-Allow-Credentials true; if ($request_method = 'OPTIONS') { return 204; } } }
07-23
这段nginx配置的意思是将所有访问baidu的请求转发到www.baidu.com，并且在转发过程中设置一些请求头信息，包括Host、X-Real-IP、X-Forwarded-For、X-Forwarded-Host、X-Forwarded-Port和X-Forwarded-Proto。此外，还添加了一些跨域请求相关的响应头信息，并对OPTIONS方法进行了处理。这个配置可以用于实现反向代理和跨域请求的处理。
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值