java - 将 URL 作为输入正文参数传递时的 API 安全检查

Question

我的应用程序中有一个要求，其中 API 接受一些外部网站 URL 作为输入正文参数。然后，服务器调用 URL 并读取响应标头。

由于我们不能对作为输入传递的 URL 进行任何域限制，因此 API 容易受到安全攻击（通常是 SSRF 攻击）。

有没有办法可以识别在 body 参数中传递的 URL 是否来自安全网站？注意 - 我只从 URL 响应中读取标题数据。