Заголовок Forwarded
Определение
Заголовок Forwarded — поле HTTP по RFC 7239, в котором прокси-сервер передаёт дальше сведения о сторонах запроса: параметры for, by, host и proto. Для приложения это обычный ввод: те же поля может прислать сам клиент, поэтому верить им можно только при известной границе доверенных прокси-серверов.
Также ищут: Forwarded header · HTTP Forwarded · forwarding headers · X-Forwarded-*
Зачем это знать
Эти значения часто влияют на абсолютные URL, аудит и правила доступа, хотя сами по себе остаются обычным вводом.
Карта понятия
Что подтверждено
RFC 7239 задаёт параметры for, by, host и proto и разрешает прокси добавлять их при передаче запроса.
Граница применимости: Синтаксис и смысл поля Forwarded.
Приложение не должно принимать Forwarded или X-Forwarded-* за истину без известной границы доверенного прокси: одноимённые поля может прислать клиент.
Граница применимости: Доверие к сведениям Forwarded.
Что проверить
- Укажите, кто записывает каждое поле.
- Удалите присланную клиентом копию.
- Разбирайте только известный доверенный переход.
Первоисточники
- Forwarded HTTP Extension
Определяет Forwarded для client, proxy, host и protocol metadata и предупреждает о privacy и integrity рисках.
- Testing for Host Header Injection
Описывает атаки через Host/X-Forwarded-Host и рекомендует не доверять им при построении reset links, redirects и routing decisions.
Утверждения: 02