密码重置链接的主机来源应如何校验?

密码重置机制的核心安全假设，在于生成的凭证与目标地址不可被未授权第三方劫持。然而在实际架构中，许多系统为了适配多环境部署，选择直接从当前 HTTP 请求中读取主机信息来拼装重置链接。这种做法使得客户端传入的不可信数据穿透了信任边界，导致重置邮件中的绝对地址指向受攻击者控制的主机，进而造成凭证外泄。防范此类风险，关键在于确立严格的主机来源校验与生成机制。

固定受信任的服务端基准来源

最彻底的防护手段是在业务层阻断对动态请求头的依赖。对于单域名或常规业务系统，密码重置等安全敏感链接应直接使用服务端静态配置的可信公共来源地址，禁止使用请求报文中的字段动态构造 URL。在支持多租户的复杂架构中，应用不应直接信任请求头声明的主机，而应根据已验证的租户上下文，从受控的租户配置映射表中选取合法域名。

规范多层级的主机白名单校验

如果业务场景确实需要基于请求动态匹配主机，则必须在接入层与应用层建立严格的白名单机制。校验逻辑应当基于标准的网络语法进行完整解析，并对主机名及端口号的完整组合进行严格比对，坚决杜绝简单的子串匹配、前缀匹配或后缀包含判断。此外，反向代理与应用服务器在虚拟主机分发规则上应保持一致，直接拒绝未知或未绑定的主机请求，避免默认虚拟主机配置将恶意流量透传至业务层。

收紧代理转发链与协议字段信任

现代 Web 架构普遍依赖反向代理与负载均衡，这引入了更多潜在的污染向量。系统必须对传入的主机头进行分层治理：

• 在面向公网的边缘入口处，强制清除或覆盖外部传入的 X-Forwarded-Host 及 Forwarded 等转发字段，仅允许内部受信任的代理服务按既定规则生成这些信息。
• 后端应用仅接受来自指定可信代理的主机转发声明，并关闭绕过代理直接访问后端的网络路径。
• 在涉及 HTTP/2 等协议升级时，确保各中间件对伪头部 :authority 与传统头部字段的解析逻辑一致，防止因协议转换产生字段伪造漏洞。

密码重置链路的安全性不仅取决于令牌本身的随机度与生命周期，更取决于承载令牌的地址是否具备端到端的不可篡改性。通过服务端静态绑定、严格语法白名单匹配，以及阻断不可信的代理字段传递，才能确保重置链接的主机来源始终处于受控范围之内。