服务器主机头是HTTP请求中的Host字段，它让服务器能区分同一IP上的不同网站，而主服务器通常指默认处理未知主机头请求的站点。只要你在浏览器地址栏输入域名，这个字段就会自动带上，服务器读到它才知道该把请求交给哪个虚拟主机，如果请求里没有主机头或主机头不匹配，就由主服务器（默认站点）来兜底。
服务器主机头是什么？它和主服务器怎么配合
主机头就是HTTP/1.1协议里规定的Host请求头，它的值就是你要访问的域名，一台服务器可以托管多个网站，但IP地址只有一个，这时候全靠主机头来区分，比如你访问www.example.com，请求里就会包含Host: www.example.com，服务器接收后根据这个值找到对应的站点配置，没有主机头的话，服务器只能按默认的来处理，这个默认的站点就是主服务器（也叫默认服务器）。
主机头的工作原理
- 客户端发起HTTP请求,头部带上Host字段。
- 服务器收到请求，解析Host值,匹配自己配置的虚拟主机列表。
- 匹配成功，把请求交给对应的站点处理；匹配失败,则交给主服务器。
- 如果请求中完全没有Host字段（比如HTTP/1.0的旧请求）,服务器也会直接交给主服务器。
主服务器的角色
主服务器通常是一台服务器上第一个定义的虚拟主机，或者通过特定指令（如Nginx的default_server）明确指定，它负责处理那些没有明确匹配的请求，很多运维人员会把主服务器设为一个空站点或返回403错误，防止未绑定域名访问到敏感内容，行业共识认为,合理配置主服务器是安全基线的一部分。
主机头配置方法：Apache和Nginx主服务器场景
不同Web服务器对主机头的处理方式略有差异，但核心思路一致，下面以主流服务器为例，给出实操步骤,让你能直接上手。
Apache服务器主机头设置
Apache通过VirtualHost指令实现基于主机头的虚拟主机，配置时需先启用NameVirtualHost，然后在<VirtualHost>里指定ServerName和ServerAlias。
- 打开Apache配置文件（如
httpd.conf或sites-enabled/下的文件）。 - 确保
NameVirtualHost :80已启用（如果使用IP或端口，改为对应地址）。 - 添加虚拟主机块：
<VirtualHost :80> ServerName www.example.com ServerAlias example.com DocumentRoot /var/www/example </VirtualHost> - 第一个定义的虚拟主机自动成为主服务器，也可以显式设置
_default_:80。 - 检查配置：
apachectl configtest，然后重启：systemctl restart httpd。
如果希望主服务器返回403或空响应，可以创建一个没有ServerName的虚拟主机作为第一个，并设置DocumentRoot指向空目录，再配合Deny from all。
Nginx服务器主机头设置
Nginx用server_name指令匹配主机头，主服务器通过listen指令的default_server参数指定。
- 编辑Nginx配置文件（如
nginx.conf或/etc/nginx/sites-enabled/下的文件）。 - 添加服务器块：
server { listen 80 default_server; server_name _; return 444; # 直接关闭连接 } server { listen 80; server_name www.example.com; root /var/www/example; } default_server表示该块是主服务器，server_name _匹配所有未定义的域名。- 测试配置：
nginx -t，然后重载：nginx -s reload。
Nginx的_是一个通配符，专门用于匹配不存在的域名，主服务器尽量返回错误码或关闭连接,避免暴露内容。
配置对比
| 方面 | Apache | Nginx |
|---|---|---|
| 主服务器定义 | 第一个VirtualHost或_default_ |
listen指令的default_server参数 |
| 匹配规则 | 按顺序匹配，首个匹配即生效 | 根据server_name精确匹配，最后才落到主服务器 |
| 无主机头请求 | 默认交给主服务器 | 同样交给主服务器，但可通过server_name _捕获 |
| 推荐实践 | 主服务器设为禁止访问 | 主服务器返回444或404 |
主服务器虚拟主机：主机头与安全考量
主机头不仅用于路由请求，还和安全直接挂钩，主服务器虚拟主机作为最后一道防线,需要考虑如何应对异常请求。
主机头丢失或篡改场景
- 客户端使用HTTP/1.0，可能不发送Host字段,请求直接落到主服务器。
- 恶意攻击者构造特殊Host头，试图绕过安全限制或触发应用逻辑漏洞（如密码重置、缓存投毒）。
- 内部网络扫描或健康检查，可能不带完整Host头,也需要主服务器正确处理。
主服务器虚拟主机配置要点
- 拒绝所有未绑定域名：主服务器不要放任何真实业务内容,直接返回400或403。
- 记录日志：在主服务器配置中开启访问日志,用于监控异常请求。
- 限制访问：结合防火墙策略，只允许特定IP访问主服务器（如果需要）。
- 空默认站点：业内专家指出，将主服务器指向一个空目录并禁用目录列表,能避免信息泄露。
实操：锁定主服务器
- Apache示例：第一个VirtualHost设置
DocumentRoot /var/www/empty，并在目录内放一个空的
index.html
<Directory>拒绝所有访问。<Directory /var/www/empty> Require all denied </Directory> - Nginx示例：
return 444;直接断开连接，不给任何响应,减少攻击面。
服务器主机头常见问题解答
服务器主机头与域名有什么区别？
域名是用户记忆和访问的地址，而主机头是HTTP请求中传递域名的具体字段，域名通过DNS解析为IP，服务器收到请求后根据主机头决定使用哪个虚拟主机，两者是一体两面，但主机头是请求层面，域名是网络层面，没有主机头，服务器无法区分同一IP上的多个域名。
主服务器处理不了未知主机头怎么办？
首先检查配置：Apache是否启用了`NameVirtualHost`，Nginx是否设置了`default_server`，其次确认主服务器块是否放在配置文件最前面（Apache）或正确指定了`default_server`（Nginx），如果还是处理不了，查看日志定位具体错误，通常是配置语法问题或端口冲突，主服务器必须能捕获所有未匹配的Host值，否则请求会得不到正确响应，甚至暴露其他站点。
主机头攻击如何防范？
主机头攻击通常利用服务器对Host头的信任，诱发缓存污染或密码重置链接劫持，防范措施包括：主服务器不响应合法业务，始终返回错误；关闭Apache的`UseCanonicalName`，避免使用Host头生成重定向；在Nginx中通过`set $host $http_host`谨慎使用，并验证Host值是否在白名单内，定期检查日志中的异常Host字段，配合WAF规则拦截非预期头部，这些措施能有效降低攻击面，但关键还是不要让主服务器成为默认信任源。
服务器主机头决定了请求的去向，主服务器则是兜底规则，两者配合才能稳定托管多站点。把握住配置细节和安全边界,就能让一台服务器既灵活又可靠。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/544948.html
