Go http.Request.Host 怎样为反向代理保留原始主机名

反向代理里最容易混淆的是两个“主机”：请求要连接的上游地址，以及请求头里要声明的原始主机名。Go 把它们分别放在 Request.URL.Host 和 Request.Host，所以把上游地址直接覆盖到 Host 字段，往往会丢失租户路由、签名校验或日志需要的原始主机名。

官方地址：https://pkg.go.dev/net/http#Request

结论：URL.Host 决定客户端连接哪个服务器，Request.Host 决定发送哪个 Host 头；服务端入口从 r.Host 读取原始主机名，转发时先校验它，再分别设置上游 URL 和 Request.Host。

先分清 Request.Host 与 URL.Host

Go 官方文档对这两个字段的职责区分得很明确：客户端请求用 URL.Host 指定要连接的服务器，Request.Host 可选地覆盖要发送的 Host 头；如果 Request.Host 为空，写请求时会使用 URL.Host。这就是“连接目标”和“主机声明”可以不同的原因。

package main

import (
	"fmt"
	"net/http"
)

func main() {
	req, err := http.NewRequest(http.MethodGet, "https://upstream.internal/api", nil)
	if err != nil {
		panic(err) // 构造 URL 失败时立即停止，避免继续发送不完整请求
	}
	req.Host = "tenant.example.com" // 只覆盖 Host 头，不改变 URL.Host 指向的连接目标

	fmt.Println(req.URL.Host) // 连接目标：upstream.internal
	fmt.Println(req.Host)     // 主机声明：tenant.example.com
}

因此，req.Host 不是把客户端 TCP 连接改到另一个地址的开关。它更接近 HTTP/1 的 Host 头，在 HTTP/2 中对应 :authority。连接路由仍由 URL 和 Transport 决定。

服务端从 r.Host 读取入口主机

服务端收到请求后，Go 会把传入的 Host 头提升到 Request.Host，并从 Header map 中移除。也就是说，在 Handler 里优先读取 r.Host，不要再用 r.Header.Get("Host") 判断入口主机。

func hostHandler(w http.ResponseWriter, r *http.Request) {
	host := r.Host // 服务端入口主机在 Request.Host 中，可能包含端口
	if host == "" {
		http.Error(w, "missing host", http.StatusBadRequest) // 缺失主机时拒绝继续路由
		return
	}

	fmt.Fprintln(w, host) // 示例只回显主机名，生产代码应按白名单选择路由
}

主机名可能是 host:port，不能简单地把字符串按冒号切开。若业务只允许固定域名，应先用明确的白名单比较；若要拆分主机和端口，再使用 net.SplitHostPort 并处理没有端口的输入。

转发时分别设置上游地址和原始主机名

反向代理的关键是保留两个值：入口请求的 r.Host 作为原始主机声明，上游服务的地址写入新请求 URL。下面的示例只展示字段边界，未实现完整的响应回写、超时、鉴权和连接池策略。

func buildUpstreamRequest(r *http.Request, upstream string) (*http.Request, error) {
	allowed := map[string]bool{
		"tenant.example.com": true,
		"tenant.example.com:443": true,
	}
	if !allowed[r.Host] {
		return nil, fmt.Errorf("unsupported host %q", r.Host) // 先限制可接受的入口主机
	}

	u := *r.URL
	u.Scheme = "https"
	u.Host = upstream // URL.Host 决定 Transport 连接哪个上游
	forwarded := r.Clone(r.Context())
	forwarded.URL = &u
	forwarded.Host = r.Host // Request.Host 保留原始主机声明
	return forwarded, nil
}

这里复制 URL 是为了只改变转发目标，不把原始请求的 URL 对象原地改掉；复制 Request 是为了避免在中间件链里意外修改入口对象。真正发送前，还要按业务决定是否重写 X-Forwarded-Host 等代理头，并由信任边界明确哪些头来自可信代理。

端口、空值与安全边界要单独处理

第一，Host 可以包含端口，白名单应按业务允许的完整形式处理；第二，客户端 Request.Host 为空时，Go 会退回使用 URL.Host，所以不要把空值理解成“没有 Host 头”；第三，服务端不能把任意 Host 当作可信路由或绝对 URL 来源，官方文档也提醒 Handler 应验证它是否属于自身权威域名，以降低 DNS rebinding 等风险。

记忆方法很简单：问“连接到哪里”时看 URL.Host，问“告诉对方我是谁”时看 Request.Host。在反向代理里把两个字段分开保存，路由、签名和日志就不容易因为一次 URL 改写而互相污染。

相关问题

为什么 r.Header.Get("Host") 读不到入口域名？

因为 Go 服务端解析请求时会把 Host 头提升到 Request.Host，并从普通 Header map 中移除。Handler 应使用 r.Host。

设置 req.Host 会改变请求发往的服务器吗？

不会。客户端连接目标由 req.URL.Host 等 Transport 配置决定；req.Host 只覆盖发送给对端的 Host 头。

参考依据：Go 官方 https://pkg.go.dev/net/http#Request。