在WebLogic等应用服务器上，HttpServletRequest.getRequestURL()可能返回主机名而非域名，需结合getServerName()与请求头X-Forwarded-Host等字段手动构建真实域名，尤其在反向代理或负载均衡环境下。
在weblogic等应用服务器上，`httpservletrequest.getrequesturl()`可能返回主机名而非域名，需结合`getservername()`与请求头`x-forwarded-host`等字段手动构建真实域名，尤其在反向代理或负载均衡环境下。
在Spring Web应用部署于Oracle WebLogic Server时，若通过request.getRequestURL().toString()获取URL，常遇到返回内网机器名（如 svmachine001）而非预期的公网子域名（如 secure.asd.com）。这是因为WebLogic在集群或代理环境下，默认将serverName解析为本地主机名，而非客户端实际访问的域名。
根本原因在于：getRequestURL()基于容器解析的serverName和serverPort构建协议+主机+路径，而该serverName由WebLogic启动配置或JVM网络栈决定，并未感知前端Nginx、F5或CDN转发的真实Host头。
✅ 正确做法是优先从HTTP请求头中提取原始Host信息，并做安全校验：
Java开发手册规约集合，基于阿里巴巴Java开发手册（嵩山版）。 涵盖7大维度：编程规约、异常日志、单元测试、安全规约、MySQL数据库、工程结构、设计规约。 当用户需要：(1) 编写或审查Java代码 (2) 检查命名/代码规范 (3) 处理异常和日志 (4) 编写单元测试 (5) 安全编码 (6) 数据库设...
public String getActualDomain(HttpServletRequest request) {
// 1. 优先尝试 X-Forwarded-Host（常见于Nginx/Apache反向代理）
String forwardedHost = request.getHeader("X-Forwarded-Host");
if (forwardedHost != null && !forwardedHost.trim().isEmpty()) {
return forwardedHost.split(",")[0].trim(); // 取第一个，防逗号分隔多值
}
// 2. 其次尝试 Host 头（直接访问或直连场景）
String hostHeader = request.getHeader("Host");
if (hostHeader != null && !hostHeader.trim().isEmpty()) {
return hostHeader.split(":")[0].trim(); // 剔除端口号
}
// 3. 最后降级使用 serverName（仅作兜底，不推荐用于业务判断）
return request.getServerName();
}⚠️ 注意事项：
立即学习“Java免费学习笔记（深入）”；
-
安全性：
X-Forwarded-Host和Host头可被客户端伪造，切勿在未验证代理链可信的前提下直接信任。应在反向代理（如Nginx）中配置proxy_set_header X-Forwarded-Host $host;，并确保应用只接收来自可信代理的流量； -
WebLogic配置：若使用WebLogic内置代理或集群，可在
weblogic.xml中启用<weblogic-web-app><security-role-assignment></security-role-assignment></weblogic-web-app>配合<virtual-host></virtual-host>定义，但更推荐统一由前置代理透传Host； -
Spring Boot用户：可封装为
@Component工具类，或在Filter中预设request.setAttribute("actualHost", getActualDomain(request))供后续Controller使用； -
子域逻辑分支示例：
String domain = getActualDomain(request); if ("secure.asd.com".equalsIgnoreCase(domain)) { // 启用HTTPS专属逻辑、风控策略等 } else if ("www.asd.com".equalsIgnoreCase(domain)) { // 默认门户逻辑 }
总结：getRequestURL()本质是容器构造的“服务端视角URL”，不反映客户端访问上下文；获取真实域名必须依赖HTTP请求头，并辅以基础设施层（代理/负载均衡器）的正确配置与安全约束。
