訪問網站時如果訪問路徑中缺少/，大多數中間件都會自動將路徑補全，返回302或301跳轉如下圖，Location位置的域名會使用Host頭的值。

這種情況實際上風險較低，難以構成Host頭攻擊。但是由于大多漏洞掃描器會將這種情況檢測為Host頭攻擊，為了通過上級檢查或各種審核，大多數甲方單位會要求修復漏洞，徹底解決問題。

該跳轉路徑不是web項目定義的，是中間件自動跳轉的，所以不能用編寫靜態變量的方法修復，web項目中的全局過濾器也無法攔截。需要在nginx服務器層面配置才能修復

方法一:直接在寶塔的網站的配置里面添加，codeworker.cn改為你當前的域名
#防止Host頭攻擊start
   if ($Host != 'codeworker.cn')
   {
    return 403;
    }
#防止Host頭攻擊end

方法二:在nginx.conf添加,因為要做等保測評所以服務器采用的是https,下面的是443端口(https使用的)可以改成80端口(http使用的),可自行根據自己需要配置
#防止Host頭攻擊start()
server {
       listen 443 default;
       server_name _;
    #SSL-START SSL相關配置
    ssl_certificate    /www/server/panel/vhost/cert/codeworker.cn/fullchain.pem;
    ssl_certificate_key    /www/server/panel/vhost/cert/codeworker.cn/privkey.pem;
    ssl_protocols TLSv1 TLSv1.1 TLSv1.2 TLSv1.3;
    ssl_ciphers ECDHE-RSA-AES128-GCM-SHA256:HIGH:!aNULL:!MD5:!RC4:!DHE;
    ssl_prefer_server_ciphers on;
    ssl_session_cache shared:SSL:10m;
    ssl_session_timeout 10m;
    error_page 497  https://$host$request_uri; 
    #SSL-END

       location / {
       return 403;
       }
       }
#防止Host頭攻擊end

此文章參考來源https://www.freebuf.com/articles/web/178315.html