关于 Angular server.ts 里设置 trust p

在 Angular 的 server.ts 文件中，包含了一行代码 server.set('trust proxy', 'loopback');。这行代码的目的并不显而易见，因为它涉及代理（proxy）和安全配置的相关概念。本文将深入探讨其具体作用，使用场景，以及相关实例。

server.set('trust proxy', 'loopback'); 是用于配置 Express.js 框架的设置，而 Angular Universal 通常通过 Express.js 实现服务器端渲染（SSR）。具体而言，这段代码是用来设置 Express 应用的 trust proxy 属性，以定义应用信任的代理级别。设置这项属性意味着服务器在接收到请求时，将信任某些代理服务器提供的信息，例如 X-Forwarded-For 和 X-Forwarded-Proto 这些 HTTP 头部字段。通常情况下，这些 HTTP 头部由反向代理服务器（例如 Nginx 或 HAProxy）添加，用于指示请求的原始 IP 地址和协议。

为深入理解其用途，我们需要分析如下几个方面：

1. 代理的作用及信任代理的必要性

在 Web 应用的架构中，代理服务器（Proxy Server）扮演着至关重要的角色。代理服务器是介于客户端和目标服务器之间的中间层，客户端的请求首先到达代理服务器，再由代理服务器转发至目标服务器，随后目标服务器将响应返回给客户端。代理服务器的作用主要体现在以下几个方面：

• 负载均衡与优化：代理服务器能够将请求分配到多个后端服务器，从而实现负载均衡和优化响应速度。
• 安全增强：代理服务器可以隐藏真实服务器的 IP 地址，从而增强安全性，并可用于防御 DDoS 攻击。
• 缓存：代理服务器可以缓存静态资源，以减少目标服务器的工作负荷。
• SSL 卸载：代理服务器可以在服务器端终止 SSL 连接，并将请求以 HTTP 协议转发给应用服务器，以简化应用服务器的实现。

在这些场景中，代理服务器通常会添加或修改 HTTP 头信息，以描述请求的真实来源。例如，当用户的请求经过代理服务器时，代理服务器可能会设置 X-Forwarded-For 头，用于指示客户端的真实 IP，而不是代理服务器的 IP。同样，X-Forwarded-Proto 头用于指示请求的原始协议（HTTP 或 HTTPS）。

但从安全角度来看，不能随意信任代理服务器添加的这些头信息，因为攻击者可以伪造这些头来欺骗服务器。因此，Express 应用中的 trust proxy 配置选项可以控制哪些代理服务器是可信的，以及哪些头部信息可以被信任。

2. trust proxy 配置的作用

在 Express 应用中，trust proxy 是用于定义信任代理服务器策略的配置选项。当设置 server.set('trust proxy', 'loopback'); 时，意味着应用信任来自 loopback 地址的代理，即信任本地主机（127.0.0.1 或 ::1），这一设定通常用于本地开发和调试。

trust proxy 的主要作用体现在以下方面：

• 获取客户端 IP：正确设置 trust proxy 后，req.ip 将返回原始客户端的 IP 地址，而不是代理服务器的 IP 地址。
• 协议判断：在设置了 trust proxy 后，req.protocol 会基于 X-Forwarded-Proto 的值来判断请求使用的协议（HTTP 或 HTTPS）。如果没有正确设置，req.protocol 可能错误地显示为 http，即便原始请求是通过 https 发出的。

trust proxy 可以接受多种形式的值，包括布尔值、数字、字符串等：

• 布尔值：true 表示信任所有代理，false 表示不信任任何代理。
• 数字：表示信任自客户端至服务器路径中的第几层代理。例如，1 表示信任第一层代理。
• 字符串：可以是 IP 地址、CIDR 范围或者某些关键字（如 loopback、uniquelocal 等）。

通过设置 server.set('trust proxy', 'loopback');，意味着服务器信任来自本地的代理服务器。这样做的主要原因是在开发环境中，开发人员可能会在本机上运行代理工具，例如 Nginx 或其他软件，以便调试请求的行为。

3. trust proxy 的安全性与实际作用

当应用程序使用代理服务器时，如果未设置 trust proxy，Express 将无法准确判断请求的来源和协议，这可能影响应用的安全判断。例如，如果原始请求是通过 HTTPS 发出的，但代理服务器与应用服务器之间的通信是 HTTP，若未信任代理，则 req.protocol 可能会错误地显示为 http，导致错误地应用安全策略，例如未能正确设置 secure 标记的 Cookie。

通过设置信任代理，应用可以解决这一问题。例如，代理服务器可以将请求的协议信息写入 X-Forwarded-Proto，Express 应用信任该代理后，就能正确地读取协议信息。

然而，如果错误地信任了不安全的代理，则会引发安全风险。例如，攻击者可能会伪造 X-Forwarded-For 头，将其 IP 地址伪装为其他地址。因此，在生产环境中应格外谨慎，只信任经过验证的代理。

4. loopback 的含义与使用场景

在代码 server.set('trust proxy', 'loopback'); 中，loopback 代表仅信任来自本地主机的请求（127.0.0.1 或 ::1）。loopback 地址在开发和测试环境中广泛使用，表示请求来源于当前主机。比如，在本地使用反向代理服务器（如 Nginx）来代理 Express 应用的情况下，trust proxy 设置为 loopback 是合适的，因为代理服务器是受控的。

在生产环境中，通常需要调整这一配置，信任特定代理服务器的 IP 地址，或者信任代理服务器所在的内网 IP 范围，以确保应用只信任那些被安全配置的代理。例如：

server.set('trust proxy', '10.0.0.0/8');

这表示信任 IP 地址在 10.0.0.0 到 10.255.255.255 之间的所有代理服务器，这是一个典型的内网 IP 地址范围配置。

5. trust proxy 的实际应用示例

示例 1：开发环境中的代理配置

假设在开发环境中，你在本地运行了反向代理服务器 Nginx，它将所有请求代理到本地运行的 Angular Universal 应用。这时，server.set('trust proxy', 'loopback'); 可以确保 Express 应用信任来自 127.0.0.1 的代理请求。

Nginx 的配置示例如下：

server {
    listen 80;
    server_name localhost;

    location / {
        proxy_pass http://127.0.0.1:4000;
        proxy_set_header Host $host;
        proxy_set_header X-Real-IP $remote_addr;
        proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
        proxy_set_header X-Forwarded-Proto $scheme;
    }
}

在该配置下，Nginx 会添加 X-Forwarded-For 和 X-Forwarded-Proto 头部，以帮助 Express 确定请求的来源和协议。trust proxy 设置为 loopback 后，Express 将信任这些头部，从而准确地获取客户端的 IP 地址和协议信息。

示例 2：生产环境中的代理配置

在生产环境中，假设使用 AWS Elastic Load Balancer（ELB）作为反向代理，将客户端请求转发到 Express 应用。在这种情况下，需要信任来自 ELB 的代理请求，可以这样设置：

server.set('trust proxy', true);

或者更严格地指定 ELB 的 IP 范围：

server.set('trust proxy', '192.168.0.0/16');

信任代理后，Express 应用确保 req.ip 返回客户端的真实 IP 地址，而不是 ELB 的 IP 地址。同时，req.protocol 可以正确显示为 https，即使代理与应用服务器之间的通信是 HTTP。这对于安全非常关键，因为许多安全相关的逻辑依赖于协议类型，例如发送带 Secure 属性的 Cookie。

6. 使用 trust proxy 的注意事项

trust proxy 配置的主要风险在于错误地信任不安全的代理服务器。如果信任了未经验证的代理，攻击者可以伪造 IP 地址，绕过安全检查。因此，配置 trust proxy 时，需要慎重评估哪些代理是可信的。

在生产环境中，通常只有经过认证的代理服务器（如负载均衡器或反向代理）才被信任。trust proxy 配置应基于实际网络拓扑，以确保 Express 应用仅信任真正处于客户端与服务器之间的可信设备。

例如，如果使用 Cloudflare 作为 CDN 和安全层，则需要信任来自 Cloudflare 的请求。在这种情况下，可以将 trust proxy 设置为 Cloudflare 的 IP 范围，以确保只有经过 Cloudflare 的请求会被信任：

server.set('trust proxy', '103.21.244.0/22');

7. 实践中的配置与建议

server.set('trust proxy', 'loopback'); 的作用是让服务器信任来自本地主机的代理。这在开发和测试环境中非常有用，因为你可以在本地使用代理服务器来模拟各种请求来源和协议。而在生产环境中，合理配置 trust proxy 可以确保应用准确识别请求来源和协议，从而做出正确的安全决策。

在实际操作中，确保 trust proxy 配置与网络环境相匹配至关重要。不正确的配置可能会导致安全漏洞，使应用暴露于潜在的攻击之下。因此，建议在开发和测试环境中使用 loopback 或特定的内网 IP，而在生产环境中则根据网络架构谨慎设置信任的代理范围。

trust proxy 是 Express 应用中的一个关键安全配置，理解其原理和作用有助于构建更安全、更稳定的应用。在应对代理和负载均衡器时，合理配置 trust proxy 能让应用更好地适应复杂的网络环境，确保请求信息的可靠性和准确性。