Spring Boot 背后的 nginx 反向代理拒绝标头值“??????”

Question

我有一个小型 Spring Boot 应用程序，我想在我的服务器上本地运行，该服务器运行一些其他东西，因此服务都位于 nginx 反向代理后面，该代理是我的 DNS 指向的网络端口转发出去的端口。

我已在服务器上运行我的应用程序并通过 192.168.xx:80 访问它工作正常。但是，当我将其通过反向代理并通过我的域访问它时，它就会崩溃。

中断的本质似乎是 Spring Security，因为它应该将我重定向到我的 /login 页面，但事实并非如此。我在服务器控制台中收到的消息是这样的：

org.springframework.security.web.firewall.RequestRejectedException: The request was rejected because the header value "??????" is not allowed.

这让我怀疑反向代理对标头做了一些有趣的事情，但我不是这方面的专家。

我的 nginx 设置如下：

server{

location / {
    proxy_pass_header Authorization;
    proxy_pass http://$upstream;
    proxy_set_header Host $host;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_http_version 1.1;
    proxy_set_header Connection    ^`^|   ^`^};
    proxy_buffering off;
    client_max_body_size 0;
    proxy_read_timeout 36000s;
    proxy_redirect off;
}


    listen 443 ssl; # managed by Certbot
    ssl_certificate /etc/letsencrypt/live/myapp.mydomain.com/fullchain.pem; # managed by Certbot
    ssl_certificate_key /etc/letsencrypt/live/myapp.mydomain.com/privkey.pem; # managed by Certbot
    include /etc/letsencrypt/options-ssl-nginx.conf; # managed by Certbot
    ssl_dhparam /etc/letsencrypt/ssl-dhparams.pem; # managed by Certbot

}

server {
    if ($host = myapp.mydomain.com) {
        return 301 https://$host$request_uri;
    } # managed by Certbot


listen 80;
    return 404; # managed by Certbot


}

我添加server.use-forward-headers=true了application.properties但似乎没有做任何事情。

如果您能对此提供帮助，我们将不胜感激，谢谢。

Answer 1

默认情况下使用 StrictHttpFirewall。此实现会拒绝看似恶意的请求，例如非 ASCII 字符或没有 MIME 标头编码的字符串。如果它对您的需求来说过于严格，那么您可以自定义拒绝哪些类型的请求。

这是Spring Boot 2.4 升级到的Spring Security 5.4中的标准行为。Spring Security 文档中提到了这一点，该文档还提供了一些有关配置行为的信息

public class SecurityConfig extends WebSecurityConfigurerAdapter {
  ...
  @Override
  public void configure(WebSecurity web) {
      StrictHttpFirewall firewall = new StrictHttpFirewall();

      firewall.setAllowUrlEncodedSlash(true);
      firewall.setAllowBackSlash(true);
      firewall.setAllowUrlEncodedPercent(true);
      firewall.setAllowUrlEncodedPeriod(true);
      firewall.setAllowSemicolon(true);

      // Allow UTF-8 values
      Pattern allowed = Pattern.compile("[\\p{IsAssigned}&&[^\\p{IsControl}]]*");
      firewall.setAllowedHeaderValues((header) -> {
          String parsed = new String(header.getBytes(ISO_8859_1), UTF_8);
          return allowed.matcher(parsed).matches();
      });

      web.httpFirewall(firewall);
  }
}