在Java开发中，获取域名并非简单的API调用，而是需要根据运行环境（如本地开发、反向代理后、容器化部署）选择不同的策略。最核心的上文归纳是：在生产环境中，单纯依赖由于HttpServletRequest.getServerName()往往无法获取真实的客户端访问域名，必须结合反向代理配置（如Nginx）的请求头进行综合判断，或利用Spring Boot提供的工具类来确保准确性。 以下将从基础原理、生产环境挑战、框架级解决方案以及安全防护四个维度进行详细阐述。
基于Servlet API的基础获取方式
在标准的Java Web应用中，最直接获取域名的方式是通过HttpServletRequest对象，这是Java EE规范提供的标准接口,适用于应用服务器直接对外提供服务的场景。
核心代码逻辑通常包含获取协议（http或https）、服务器名称以及端口号。最基础的实现方式是调用request.getServerName()，当用户访问http://www.example.com:8080/app时，该方法将返回www.example.com，开发者通常需要配合request.getScheme()来获取协议名，以及request.getServerPort()来获取端口号,从而拼接出完整的域名前缀。
这种方式存在明显的局限性，它完全依赖于Servlet容器（如Tomcat）接收到的网络连接信息，如果客户端直接连接Tomcat，这种方式是有效的，但在现代微服务架构中，应用服务器通常不直接暴露在公网，而是隐藏在负载均衡器或反向代理服务器之后，此时基础API获取的往往是内网IP或本地主机名,而非用户浏览器中输入的真实域名。
生产环境下的反向代理挑战
在实际的企业级开发中，Nginx、Apache或云厂商的负载均衡（如ALB）通常部署在Java应用前方。当请求经过反向代理转发时，HttpServletRequest对象中的原始连接信息会发生改变,这是导致获取域名失败的最常见原因。
具体而言，Nginx转发请求到后端Tomcat时，建立的是新的TCP连接，Tomcat看到的ServerName往往是Nginx配置的upstream名称，或者是内网IP地址（如0.0.1），而端口号也可能变为8080，如果直接使用基础API，生成的链接将变成内网地址,导致用户无法访问。
为了解决这个问题，业界通用的标准是利用HTTP请求头。反向代理服务器通常会在转发时携带X-Forwarded-Host或Host头部，用于保留原始的域名信息,一个专业的解决方案应当优先检查这些头部信息。
专业的代码实现逻辑应当遵循“优先级判断”原则： 首先检查X-Forwarded-Host，其次检查Host头部，最后才降级使用request.getServerName()，这种分层获取机制能够兼容直连和代理转发的所有场景,保证了代码的健壮性。
Spring Boot框架的优雅解决方案
对于使用Spring Boot的开发者，框架已经封装了更为优雅和安全的工具类，避免了手动解析HTTP头的繁琐。利用Spring Web提供的ServletUriComponentsBuilder是获取当前请求完整域名的最佳实践。
ServletUriComponentsBuilder.fromCurrentContextPath()方法能够自动从当前的请求上下文中提取协议、域名和端口，它内部已经实现了对代理相关头部的智能识别，如果应用配置了server.use-forward-headers=true（在Spring Boot 2.x之后通常自动检测），该工具类会自动读取X-Forwarded-Proto和X-Forwarded-Host,从而构建出正确的URL。
Spring MVC中的UriComponentsBuilder还支持在非请求上下文（如异步线程或定时任务）中构建域名。这需要开发者预先配置应用的基础域名地址，通过配置文件注入server.servlet.context-path或自定义的app.base-url属性，在无法获取Request对象时通过配置回退,确保系统在任何线程下都能生成正确的对外链接。
安全性与Host Header注入防护
在获取域名的过程中，安全性是一个不容忽视的专业议题。直接信任并使用请求头中的Host信息存在“Host Header Injection”安全漏洞。
攻击者可以恶意构造HTTP请求，将Host头部修改为恶意域名（如evil.com），如果应用直接将此域名用于生成密码重置链接、CSS加载或重定向地址，可能会导致敏感信息泄露或钓鱼攻击。权威的解决方案必须包含域名的白名单校验机制。
开发者应当在获取域名后，将其与系统允许的合法域名列表进行比对，如果获取到的域名不在白名单内，应当直接回退到配置文件中预设的默认域名，或者抛出安全异常，这种“不信任输入”的原则是E-E-A-T中“安全可信”的重要体现，对于生成的URL，建议使用URL编码库进行规范化处理,防止特殊字符导致的解析错误。
相关问答
Q1：在Java中获取域名时，getServerName()和getRemoteHost()有什么区别？
A： 这两者的关注点完全不同。getServerName()返回的是请求的目标服务器的主机名，即浏览器地址栏中URL里的域名部分，这是构建应用链接通常需要的；而getRemoteHost()返回的是发起请求的客户端的主机名，即用户的IP或机器名，在反向代理场景下，getRemoteHost()通常获取的是代理服务器的IP，而非真实用户IP，真实用户IP通常需要从X-Forwarded-For头部获取。
Q2：为什么在本地开发环境获取的域名是localhost，而线上环境获取的是IP地址？
A： 这种差异通常由反向代理配置缺失或错误导致，在本地开发时，浏览器直接直连应用，Host头部正确传递，因此是localhost，在线上环境，如果Nginx等代理服务器没有正确配置proxy_set_header Host $host;等指令，后端Java应用接收到的Host信息就会丢失，从而回退到使用TCP连接的目标IP（即内网IP或容器IP），检查并修正Nginx配置文件中的头部转发设置是解决此问题的关键。
能帮助您深入理解Java中获取域名的各种场景与最佳实践，如果您在实际项目中遇到过特殊的域名获取问题,欢迎在评论区分享您的解决方案。
