Как я узнал из англоязычного Stack Overflow, валидация HTTP-заголовка HOST с помощью регулярных выражений, учитывающая все возможные сценарии, может привести к довольно сложному регулярному выражению. Однако достаточно проверить, входит ли значение полученного HTTP-заголовка HOST в список поддерживаемых (тем более, что валидация с помощью регулярного выражения всё равно не избавляет от необходимости этой проверки). Чтобы реализовать эти проверки, необходимо знать всё возможные варианты валидного заголовка HOST для своего случая.
"Поддерживаемые хосты следует прописывать вручную"
Мне это говорили неоднократно, да я в полной мере этого и не отвергаю. Всё равно нужно прописать в явном виде основной хост, например example.com. А теперь представим, что у этого example.com - десятой-другой поддоменов, причём у каждого есть ещё одни поддомен под локаль. Плюс к этому, в режиме локальной разработки нужно, чтобы сервер не отвергал запросы , идущие на localhost
. Наконец, есть какие-то редкие частные случаи типа example.com.
, которые по-хорошему тоже надо учитывать.
И что? Мне предлагается всё это прописать вручную?
[
"example.com",
"XXX.X.X.X", // IP-адрес сервера с "example.com"
"example.com:8080",
"XXX.X.X.X:8080",
// + всё то же самое для localhost в режиме локальной разработки
// + какие-то редкие частные случаи
/* --- поддомены локали для "example.com" --- */
"ru.example.com",
"ru.XXX.X.X.X",
"ru.example.com:8080",
"ru.XXX.X.X.X:8080",
// + всё то же самое для localhost в режиме локальной разработки
"en.example.com",
"en.XXX.X.X.X",
"en.example.com:8080",
"en.XXX.X.X.X:8080",
// + всё то же самое для localhost в режиме локальной разработки
// и так для всех поддерживаемых языков ...
/* --- поддомен "cats" --- */
"cats.example.com",
"cats.XXX.X.X.X",
"cats.example.com:8080",
"cats.XXX.X.X.X:8080",
// + всё то же самое для localhost в режиме локальной разработки
/* --- поддомены локали для "cats.example.com" --- */
"ru.cats.example.com",
"ru.cats.XXX.X.X.X",
"ru.cats.example.com:8080",
"ru.cats.XXX.X.X.X:8080",
// + всё то же самое для localhost в режиме локальной разработки
// и так для всех поддерживаемых языков ...
// и так для всех поддоменов
]
Очень надеюсь, что нет (по крайней мере, для третьего десятилетия 21 века).
Полагаю, что более рациональный подход состоит в том, чтобы прописать только какие-то исходные данные (это будут основной хост, например example.com
, поддерживаемые поддомены, например cats
, dogs
и т. д. + поддерживаемые локали), а всё возможные варианты - вычислить программно. И тогда уже при каждом запросе будем проверять HTTP-заголовок HOST на совпадение с одним из допустимых вариантов.
Изложу всё, что сам узнал по данной тематике.
Режим локальной разработки
В режиме локальной разработке обычно используется localhost
. Вроде как, им не обязательно должен быть IP-адрес 127.0.0.1
, но при каких условиях localhost
будет ссылаться на другие IP-адреса - мне неизвестно. Да и вообще, попытки узнать, как резолвить localhost
в IP-адрес, пока не увенчались успехом. Была подсказка, что можно с помощью нативных утилит определить соответствие localhost и IP-адреса.
Таким образом, при обслуживании IP-адреса 127.0.0.1
и порта 80 (по умолчанию для HTTP), валидными будут следующие заголовки HOST:
127.0.0.1
localhost
127.0.0.1:80
localhost:80
При этом, перед сравнением присланного заголовка с одним из валидным из списка удобно будет:
- Добавить порт по умолчанию, если таковой не указан.
- Убрать нули в начале номера порта, если таковые имеются (например: 0080 -> 80).
В итоге, список обслуживаемых хостов сокращается до:
127.0.0.1:80
localhost:80
Для HTTPS, соответственно, порт по умолчанию будет 443
.
Если же порт будет не умолчанию - то после двоеточия будет номер этого порта.
Если я правильно понял, что до меня хотели донести в одном из комментариев, то в режиме локальной разработки проверку заголовка HOST можно вообще опустить. Не уверен в этом по двум причинам:
- Нужно отладить механизм валидации заголовка HOST до деплоя
- Помимо безопасности, анализ заголовка HOST нужен в приложениях, обслуживающих несколько поддоменов.
Режим продакшена
Полагаю, с режиме продакшена localhost
-а не будет, а вместо 127.0.0.1
будет тот IP-адрес, который выдал провайдер VPS.
- Если на этот IP-адрес зарегистрировано доменное имя, то в список нужно будет добавить валидный вариант с этим доменным именем (например,
example.com:80
). - С портами всё остаётся так же.
Поддержка поддоменов
Думаю, список поддерживаемых поддоменов должен быть конечным. Если часть поддомена является параметризованной (например локаль, как ru
в ru.stackoverflow.com
), то все возможные значения должны быть заранее известны (прописаны в настройках). Тогда, для example.com
с двумя поддоменами и IP-адрсом 000.0.0.0
получаем такой список:
- 000.0.0.0:80
- example.com:80
- ru.000.0.0.0:80
- en.000.0.0.0:80
- ru.example.com:80
- en.example.com:80
Напоследок
Прошу Вас не рекомендовать никаких готовых решений типа express-плагинов, так как в данном вопросе речь идёт о именно о самостоятельной реализации механизма валидации HTTP-заголовка HOST.
example.com.:80
— впрочем, об этом и так забывают почти все :)но при каких условиях localhost будет ссылаться на другие IP-адреса - мне неизвестно
- выполнитеcat /etc/hosts
, там прописано соответствие localhost <=> 127.0.0.1. Теперь поменяйте IP адрес в этом файле на 127.0.0.2, например, и пропингуйтеping localhost
- увидите уже этот новый IP. Также посмотрите что такое loopback