ServerName本身不直接防范Host头注入，真正防护需组合配置：显式声明ServerName、禁用模糊匹配、用mod_rewrite拒绝非法Host头并返回403。
ServerName 本身不直接防范 Host 头注入，但它在 Apache 配置中是建立“明确信任源”的起点。真正起防护作用的是配合 StrictHostCheck 思路的配置组合：显式声明 ServerName + 禁用模糊匹配 + 强制校验 Host 请求头。Host 头注入漏洞的本质，是攻击者伪造请求中的 Host 字段（如 Host: evil.com），诱导服务器返回错误的虚拟主机内容、泄露内部路径，或绕过基于域名的访问控制逻辑。
明确设置 ServerName 并禁用泛域名匹配
Apache 默认允许任意 Host 头命中默认虚拟主机（即第一个定义的 <VirtualHost>）。这正是 Host 注入可利用的缺口。必须显式指定且仅接受预期域名：
- 在主配置或站点配置中，为每个
<VirtualHost *:80>或<VirtualHost *:443>块内写明唯一的ServerName example.com - 立即添加
ServerAlias www.example.com（如有需要），但避免使用通配符如ServerAlias *.example.com，除非你确需泛解析且已额外加固 - 关键一步：在该虚拟主机块内加入
UseCanonicalName On，并设置UseCanonicalName Off仅在明确需要重写 URL 时才启用；默认建议设为On，让 Apache 严格按 ServerName 构建响应头中的 Host 和 Location
用 mod_rewrite 拒绝非法 Host 头
仅靠 ServerName 不够——它不拦截恶意 Host。需主动拦截非白名单请求：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- 启用
mod_rewrite（确保LoadModule rewrite_module modules/mod_rewrite.so已加载） - 在虚拟主机内添加规则，拒绝所有 Host 不匹配的请求：
RewriteCond %{HTTP_HOST} !^example\.com$ [NC]
RewriteCond %{HTTP_HOST} !^www\.example\.com$ [NC]
RewriteRule ^ - [F]
上述配置会直接返回 403 Forbidden，阻止任何 Host 头为 malicious.com、127.0.0.1 或空值的请求进入应用层。
配合反向代理时的关键头处理
若 Apache 前置了 Nginx 或负载均衡器，真实客户端 Host 已被覆盖为后端地址（如 Host: localhost:8080）。此时必须依赖 X-Forwarded-Host 等代理头，但绝不可直接信任。正确做法是：
- 在 Apache 中禁用对
X-Forwarded-Host的自动使用（默认不启用，无需额外操作） - 只允许来自可信代理 IP 的转发头：
RemoteIPInternalProxy 10.0.0.100 10.0.0.101
RemoteIPHeader X-Forwarded-For
（同时搭配mod_remoteip模块识别真实客户端 IP） - 若业务必须读取原始 Host，应在应用层（如 PHP/Java）手动校验
X-Forwarded-Host是否在预设白名单内，Apache 层不参与该逻辑
