HttpServletRequest.getRequestURL() 是可欺骗的吗？

Question

我希望这个问题是不言自明的。我正在使用 CAS 服务器设置 Spring Security 环境。因为完全相同的应用程序部署在同一台服务器上，但服务器可以通过不同的主机名（.de 域、.com 域，可能不止这些）访问，我们希望在测试系统和本地系统上部署相同的应用程序同样，我构建了一个动态服务，其中服务 URL 是从请求 URL 派生的。

public static String makeDynamicUrlFromRequest(ServiceProperties serviceProperties, HttpServletRequest request) {
        String serviceUrl = "https://backup-url.de/login";
        URI uri = null;
        try {
            uri = new URI(request.getRequestURL().toString());
        } catch (URISyntaxException e) {
            logger.error("Someone tried accessing a disallowed service!", e);
        }

        if(uri != null){
            serviceUrl = uri.getScheme() + "://" + uri.getHost() + "/login";
        }

        return serviceUrl;
    }

这可以欺骗吗？如果是，额外的正则表达式检查是否为我提供了必要的安全措施？

Answer 1

@developerwjk
“如果他们修改了请求 URL，您将如何获得请求？”
HTTP 服务器只是一个侦听 TCP 端口、等待一些传入文本并写出一些文本作为响应的程序。 （一个普通的 Web 服务器可以用 20 行代码编写。）它只能看到连接到它的任何东西的 IP 地址和端口。这甚至可以是一个代理，或者某种其他类型的中间件。如果您不告诉程序“顺便说一句，我通过 URL http://my.com/myapp/servlet 联系到您”，那么它就是不知道，例如浏览器将如何访问它。

@沙卡 我不知道您的特定设置，但对于 jetty9，getRequestURL 的结果由请求标头中的请求 URL 确定，并且 - 如果前者缺失 - Host 参数中的 URL。也就是说，如果你连接到my.com 并发送以下请求：

POST http://spoofed1.tld/myapp/servlet HTTP/1.1
Host: spoofed2.tld

（请记住，Host 参数是必需的。）
然后getRequestURL 将返回http://spoofed1.tld/myapp/servlet

如果你发送这个：

POST /myapp/servlet HTTP/1.1
Host: spoofed2.tld

然后码头本身会回应

HTTP/1.1 302 Found
Location: http://spoofed2.tld/myapp/servlet
Content-Length: 0
Server: Jetty(<some version number>)

所以答案是是的，HttpServletRequest.getRequestURL() 是可欺骗的！通过修改请求 URL 和/或 Host 请求标头。