将对 Tornado 服务器的远程请求屏蔽为本地答案

【问题标题】：Mask remote request to Tornado server as local将对 Tornado 服务器的远程请求屏蔽为本地
【发布时间】：2017-04-16 03:40:22
【问题描述】：

我有一个 Tornado 服务器在某个端口上运行

如果我通过浏览器向不存在的 url 发出请求，Tornado 会打印：

WARNING:tornado.access:404 POST /some_url/ (MY.REAL.IP) 0.64ms python

但我注意到另一个 404 错误是通过 localhost 完成的：

WARNING:tornado.access:404 POST /some_url/ (127.0.0.1) 0.64ms python

从理论上讲，这个请求是否有可能是由远程服务器上的某个“酷黑客”使用curl --resolve 或其他东西完成的？

【问题讨论】：

【解决方案1】：

如果您在HTTPServer 构造函数中设置xheaders=True，则该地址应该是可欺骗的唯一方法。如果您使用xheaders=True，您还应该使用适当地清理标头的前端代理，这样它就不会允许来自外部来源的X-Real-IP 标头。

【讨论】：