Spring Security——带有请求主机名的令牌认证

Question

我有一个使用Spring Boot实现的应用程序，我在其中使用Spring Security进行身份验证。我已经有了“基于令牌的”身份验证，其中要求客户端检索令牌，然后在后续请求中使用该令牌进行身份验证。

我希望对此进行增强，以便令牌可以被限制为特定主机名，因此只能用于来自该主机的请求。这类似于谷歌地图API对其API密钥所做的操作，可以通过IP或主机名来限制它们。

以下是我实现的代码，用于尝试检索请求的主机名

public String getClientHostName(HttpServletRequest request) {
    String hostName = null;
    // get the request's IP address
    String clientAddress = httpRequest.getRemoteAddr();
    String xfHeader = httpRequest.getHeader("X-Forwarded-For");
    if (xfHeader != null) {
        clientAddress = xfHeader.split(",")[0];
    }   

    // try to resolve the host name from the IP address
    try {
        InetAddress address = InetAddress.getByName(clientAddress);
        hostName = address.getHostName();
    } catch (UnknownHostException e) {
        logger.error("Failed to get the host name from the request's remote address. ", e);
    }

    return hostName;
}

我现在有两个问题：

>

此代码并不总是设法检索主机名。有时它只是返回IP地址。我知道这可能归结为InetAddress类所做的一些IP欺骗检查。

当测试来自不同主机的请求时，我并不总是得到我期望的IP地址。我经常得到转发请求的另一台主机的IP地址(我以为通过检查“X-Forwarded-For”就可以解决这个问题)。这让我想知道如何检索真正发出请求的主机的IP地址。

是否有可靠的方法来检查请求发起者的主机名？

Answer 1

您是否尝试过通过字符串referer=request获取主机名。getHeader（“referer”） ？

此外，在客户端，您也可以添加一个代码片段来查找标头中的主机名。

或者，您可以提供以下代码以添加到客户端和服务器上。您可以读取域的值，该值将返回主机名

<input type="button" value="Register" onClick="call()"/>
<script>
function call(){
    var domain=window.location.hostname;
    window.open('http://<your-hostname>/register?domain='+domain,'_self');
}
</script>