Go 代理转发请求为什么 Host 变了

Go 反向代理转发后，后端看到的 Host 变成了上游域名，通常不是请求被“改坏”了，而是把三个字段混在了一起：连接到谁由 Request.URL.Host 决定，发送什么 Host 头由 Request.Host 决定，而 httputil.ProxyRequest.SetURL 默认会把出站 Host 改成目标 URL 的 Host。

先分清 URL.Host 和 Request.Host

我排查这类问题时，第一步不会直接改请求头，而是先把“连接目标”和“Host 头”分开记录。Go 文档对客户端请求的定义很明确：URL.Host 用来决定连接到哪个服务器，Request.Host 可选地覆盖实际发送的 Host 头；如果它为空，写出请求时才会使用 URL.Host。

因此，“后端访问地址正确但 Host 变了”并不矛盾：代理可以连接到 backend.internal，同时发送入口域名，也可以把两者都设为上游域名。真正要确认的是后端依赖哪个字段做路由。

SetURL 为什么会让 Host 看起来变了

较新的写法通常在 ReverseProxy.Rewrite 中调用 SetURL。它会把出站请求路由到目标的 scheme、host 和基础路径，同时默认把出站 Host 改成目标主机。这正是很多代理升级后出现“Host 变了”的根因。

target, _ := url.Parse("http://backend.internal:8080")
proxy := &httputil.ReverseProxy{
    Rewrite: func(r *httputil.ProxyRequest) {
        // SetURL 负责改写出站连接目标，也会默认改写 Out.Host。
        r.SetURL(target)
        // 需要转发客户端域名时，再明确覆盖出站 Host。
        r.Out.Host = r.In.Host
        // 如需传递入口信息，显式补充受信任的转发头。
        r.SetXForwarded()
    },
}

这里的关键不是把 Out.URL.Host 改回入口域名，而是只在确实需要时设置 Out.Host。前者会影响网络连接，后者只影响发给上游的 Host 头，混改可能导致代理连接失败或证书校验对象错误。

保留入口 Host 还是发送上游 Host

选择取决于上游的路由契约。若后端按公网域名选择租户、生成绝对 URL 或匹配虚拟主机，就保留 r.In.Host；若后端只接受内部域名，或 TLS/路由明确要求上游主机，就保留 SetURL 生成的目标 Host。

Rewrite: func(r *httputil.ProxyRequest) {
    // 连接仍然去内部服务，Host 头使用内部服务名。
    r.SetURL(target)
    // 只有上游按入口域名路由时，才打开这一行。
    // r.Out.Host = r.In.Host
}

旧代码使用 NewSingleHostReverseProxy 时要特别留意：官方文档说明它为了兼容性使用旧的 Director，默认不会改写 Host。改成直接构造 ReverseProxy 并使用 Rewrite + SetURL 后，Host 行为已经不同，不能只看目标 URL 是否相同。

SetXForwarded 传递的是 X-Forwarded-Host 等代理链信息，它和 Host 不是同一个字段。只有在上游信任当前代理、且已清理不可信客户端转发头时，才应把这些头作为路由或审计依据。

用一张清单定位代理链中的 Host

• 入口处理器先记录 r.Host 与 r.URL.Host，不要只记录 r.URL.String()。
• Rewrite 中分别记录 r.In.Host、r.Out.Host 和 r.Out.URL.Host，确认是谁改变了字段。
• 后端同时查看 Host、X-Forwarded-Host 和实际监听的虚拟主机配置。
• 涉及 HTTPS 时，把 Host 头与 TLS 的 SNI/证书校验对象分开处理，不要用改 Host 的方式替代连接地址配置。

相关问题

只改 Request.URL.Host 能改变后端看到的 Host 吗？

不一定。它主要决定连接目标；如果 Request.Host 非空，实际 Host 头仍由它覆盖。

为什么后端的 X-Forwarded-Host 和 Host 不一样？

代理可以把入口 Host 放在 X-Forwarded-Host，同时让 Host 使用上游域名。两者分别代表入口信息和当前出站请求头，必须按约定使用。

什么时候应该继续用 NewSingleHostReverseProxy？

只需要它的兼容行为且不需要额外改写时可以继续用；需要明确控制 Host、转发头或其它字段时，建议改用 Rewrite 并把意图写在代码里。