Заголовок Forwarded

Эти значения часто влияют на абсолютные URL, аудит и правила доступа, хотя сами по себе остаются обычным вводом.

1. 01

   RFC 7239 задаёт параметры for, by, host и proto и разрешает прокси добавлять их при передаче запроса.

   Граница применимости: Синтаксис и смысл поля Forwarded.

2. 02

   Приложение не должно принимать Forwarded или X-Forwarded-* за истину без известной границы доверенного прокси: одноимённые поля может прислать клиент.

   Граница применимости: Доверие к сведениям Forwarded.

1. Укажите, кто записывает каждое поле.
2. Удалите присланную клиентом копию.
3. Разбирайте только известный доверенный переход.

• Первичная спецификация

  Forwarded HTTP Extension

  Internet Engineering Task Force · RFC 7239, June 2014

  Определяет Forwarded для client, proxy, host и protocol metadata и предупреждает о privacy и integrity рисках.

  Открыть первоисточник ↗
• Официальная документация

  Testing for Host Header Injection

  OWASP Foundation · OWASP Web Security Testing Guide, checked 30 August 2026

  Описывает атаки через Host/X-Forwarded-Host и рекомендует не доверять им при построении reset links, redirects и routing decisions.

  Открыть первоисточник ↗