getremoteaddr()返回127.0.0.1或内网ip是因为它只获取tcp连接发起方（即上一跳代理）的ip，而非原始客户端ip；需依赖x-forwarded-for或x-real-ip等代理透传头，并校验可信代理及ip合法性。
Java中getRemoteAddr()为什么总是返回127.0.0.1或内网IP
因为应用部署在Nginx、SLB或CDN后面时，真实客户端IP被代理覆盖了。getRemoteAddr()只读取TCP连接发起方的IP——也就是上一跳代理的地址，不是浏览器源头IP。
常见错误现象：request.getRemoteAddr()返回127.0.0.1、10.x.x.x、172.16.x.x或192.168.x.x；线上日志里所有请求IP都一样。
- 必须依赖代理主动透传的HTTP头，最常用的是
X-Forwarded-For - 但该头可被客户端伪造，不能直接信任，需结合
X-Real-IP或白名单校验 - 如果代理没配
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;，这个头根本不会存在
如何安全地从X-Forwarded-For提取真实IP
不能直接取request.getHeader("X-Forwarded-For")的整个字符串——它可能是逗号分隔的IP链（如"203.0.113.195, 198.51.100.100, 203.0.113.6"），最左边是原始客户端，但可能被污染。
实操建议：
- 优先检查
X-Real-IP头（部分代理如Nginx默认只设这个，更可信） - 若不存在，再解析
X-Forwarded-For：用split(",")[0].trim()取第一个IP - 必须验证IP格式合法性（防止注入空格、换行、非IPv4/IPv6内容），推荐用
InetAddress.getByName(ip).isAnyLocalAddress()粗筛 - 关键：只对已知可信代理IP（如Nginx所在机器IP）发来的请求才信任
X-Forwarded-For，否则忽略
Spring Boot里封装IP获取工具类要注意什么
很多人写个静态方法直接return request.getHeader("X-Forwarded-For").split(",")[0]，上线后被刷出一堆127.0.0.1或::1，甚至触发空指针。
正确做法：
- 始终判空：
if (header == null || header.trim().isEmpty())，再处理 - 避免硬编码代理IP列表，应通过配置项（如
server.forward-headers-strategy=framework）或@Value("${trusted-proxies:127.0.0.1}")注入 - Spring Boot 2.6+ 默认禁用
X-Forwarded-For自动解析，需显式配置server.forward-headers-strategy=native或使用ForwardedHeaderFilter - 别忘了过滤掉
unknown、localhost、127.0.0.1等无效值，它们常出现在恶意请求头里
为什么本地调试时X-Forwarded-For总为空
因为开发环境通常直连Tomcat，没经过Nginx等反向代理，自然不会带这个头。强行模拟测试容易漏掉边界情况。
解决方式：
- 启动应用时加JVM参数：
-Dserver.tomcat.remote-ip-header=x-forwarded-for -Dserver.tomcat.protocol-header=x-forwarded-proto - 或在
application.yml里配：server.forward-headers-strategy: native（仅限2.6+） - 更可靠的是写个测试用的curl：
curl -H "X-Forwarded-For: 203.0.113.195" http://localhost:8080/api - 注意：IDE里Debug时，
getHeader()返回null不等于“没传”，可能是请求根本没走Servlet容器（比如静态资源被Spring直接拦截）
curl -v看响应头是否含X-Forwarded-For，比看Java日志更快定位问题。Java免费学习笔记：立即使用
解锁 Java 大师之旅：从入门到精通的终极指南
