PHP怎么获取客户端IP地址真实值【汇总】-php教程-PHP中文网

$_server['remote_addr']不准是因为它只返回直连服务器的ip（如代理ip），而非用户真实ip；需结合可信代理校验x-forwarded-for或x-real-ip等头获取真实ip，且必须验证代理来源可信、头内容合法。

php怎么获取客户端ip地址真实值【汇总】

PHP中`$_SERVER['REMOTE_ADDR']`为什么经常不准

它只返回与当前Web服务器直接建立TCP连接的客户端IP，遇到Nginx反代、CDN、负载均衡时，实际是上游代理的IP，不是用户真实出口IP。

常见错误现象：$_SERVER['REMOTE_ADDR']固定显示127.0.0.1或10.x.x.x网段地址；所有用户IP看起来都一样。

必须依赖代理在HTTP头中透传真实IP（如X-Forwarded-For、X-Real-IP）
这些头可被客户端伪造，**绝不能无条件信任**
只有已知可信代理（如你自己的Nginx、AWS ALB）转发的头才可采信
PHP本身不校验来源，需手动比对$_SERVER['REMOTE_ADDR']是否在可信代理列表中

如何安全读取`X-Forwarded-For`并提取真实IP

该头格式为"client, proxy1, proxy2"，最左边才是原始客户端IP——但前提是整个链路都由你可控的可信代理组成。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

关键判断逻辑：只从X-Forwarded-For取值，当且仅当$_SERVER['REMOTE_ADDR']属于你配置的可信代理IP段时才生效。

可信代理列表要硬编码或从配置加载，例如['127.0.0.1', '10.0.0.0/8', '172.16.0.0/12']
用filter_var($ip, FILTER_VALIDATE_IP)逐段校验，避免注入或空值
不要用explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0]简单截取——若头被篡改，会拿到恶意IP

示例片段：

$remote = $_SERVER['REMOTE_ADDR'] ?? '';
$xff = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? '';
if (in_array($remote, $trustedProxies) && filter_var($xff, FILTER_VALIDATE_IP)) {
    $ip = trim(explode(',', $xff)[0]);
}

`$_SERVER['HTTP_X_REAL_IP']`比`X-Forwarded-For`更可靠吗

是的，但前提是你控制着最外层代理（如Nginx），且明确配置了proxy_set_header X-Real-IP $remote_addr;。这个头只包含一级真实IP，不会拼接代理链，天然防伪造（只要代理不被攻破）。

Nginx默认不发此头，必须显式配置
Apache需用mod_remoteip模块配合RemoteIPHeader X-Real-IP
云服务如Cloudflare用CF-Connecting-IP，AWS ALB用X-Forwarded-For（但首项可信）
优先级建议：HTTP_X_REAL_IP > HTTP_CF_CONNECTING_IP > HTTP_X_FORWARDED_FOR（带校验） > REMOTE_ADDR