为什么代取会扩大风险？
服务器可能能访问浏览器无法直达的内部服务。若把不可信地址直接交给出站客户端，用户就可能影响服务器访问不该访问的目标。[1]
085 / Web 与应用 / SSRF
这次去取文件的，为什么是服务器？
SSRF 服务端请求伪造 · SSRF
一个导入图片的功能，可能替用户访问网络目标。服务器所在网络和拥有的身份，与用户浏览器不同；真正需要检查的是每一次出站请求要去哪里。
开始探索 ↓7–10 分钟
动手实验 · 场景判断 · 实用检查
动手实验 · 场景判断 · 实用检查
服务器角色拿着图片，被外部卷纸引向内部机房。画面强调“由谁发起请求、能到哪里”，不表示所有图片下载都属于攻击。
本课任务 / SSRF 服务端请求伪造
沿着 URL、解析地址与重定向，守住服务器可访问的目标范围。
- 分辨客户端请求和服务器代取
- 观察首跳检查与每跳检查的差别
- 理解应用校验和网络出口控制
亲手探索 / 不同条件，不同结果
跟着一条代取请求，逐跳检查目的地。
使用固定虚构目标，改变校验策略与跳转条件。观察哪道检查阻止了越界；本页不解析真实 DNS、不发请求，也不能复制成生产防护代码。
SSRF / 出站请求边界实验
检查了入口，还得看服务器最后去了哪。
虚构图片预览服务只获准访问 media.example 与 cdn.example 的 HTTPS / 443。选择目标和防护策略，再沿每一跳追踪实际目的地。所有操作仅在页面内推演。
尚未运行。先检查条件，再推演请求；不会访问这些地址。
随手查 / 把理解带回实际工作
理解机制之后，检查这些细节。
实验是简化模型。真实环境需要明确业务规则、验证失败路径，并持续维护配置与证据。
01 / 实用细节
先决定是否需要任意 URL
若业务只需访问固定合作服务，优先收窄输入为受控标识或明确允许的目标。允许任意外部 URL 会带来更复杂的地址与网络策略。[1]
02 / 实用细节
解析结构，而不是搜索字样
使用成熟解析器获取协议、主机和端口，再按策略检查。路径里出现可信域名、主机名包含某段文字，都不能替代精确主机匹配。[2][1]
03 / 实用细节
地址与实际连接要一致
域名允许并不自动保证所有解析地址可访问。考虑 IPv4、IPv6、多个解析结果及再次解析；避免校验的目的地与实际连接的目的地脱节。[1]
04 / 实用细节
把每次跳转当作新目标
能关闭自动重定向时优先关闭；确实需要跳转时，对每一跳重新执行协议、主机、端口与地址策略，限制次数，不能仅相信最初 URL。[1]
05 / 实用细节
网络层再收紧一次
用合适的出站代理、防火墙或网络隔离限制应用能连接的范围。服务器身份应最小化，避免一个代取功能顺带获得内部高权限。[1]
06 / 实用细节
边界测试要覆盖客户端行为
在获准环境验证解析差异、跳转、解析变化、超时和响应大小限制。真实实现涉及库版本与网络条件，本页固定样本的通过不代表生产系统已经安全。[1][2]
从模拟，到验证
找一个获准的环境，实际检查一次。
勾选用于本页自查，不会自动标记整课已学会。练习与清单刷新后重置。
本页已检查 0 / 5 项
网页抓取服务防 SSRF 时，还需关注什么？
能解释原因，再标记学会。
小测结果同步错题本；“已学会”沿用原有本地学习记录。
资料与依据
- OWASP · SSRF Prevention ↗
目标允许列表、地址、DNS、重定向与网络层防护
- WHATWG · URL Standard ↗
URL 解析与主机结构；不是完整 SSRF 防护实现
本页场景、人物与数据均为教学示例。互动选择不会上传；收藏、已学会与错题沿用当前浏览器本地存储。来源正文核对日期：2026-10-08。