Laravel中间件怎么做IP限制_LaravelIP白名单配置方法【指南】-Laravel-PHP中文网

应优先用 $request->server('REMOTE_ADDR') 并结合 TRUSTED_PROXIES 校验，白名单存配置文件支持 CIDR，拦截时返回 response('Forbidden', 403) 而非 abort(403)，Nginx 需透传真实 IP 且信任其地址。

laravel中间件怎么做ip限制_laravelip白名单配置方法【指南】

中间件里怎么判断请求IP是否在白名单

直接用 $request->ip() 拿到客户端IP，但注意它可能被代理污染；更稳妥的是读 $request->server('REMOTE_ADDR')，再结合 TRUSTED_PROXIES 配置决定是否信任 X-Forwarded-For。白名单建议存在配置文件或环境变量里，别硬编码。

常见错误是只比对字符串，没处理 CIDR（比如 192.168.1.0/24）或 IPv6 地址段。Laravel 自带的 Illuminate\Http\Request::ipIs() 不支持 CIDR，得自己补：

用 filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_IPV4) 先校验格式
CIDR 匹配推荐用 ip_in_range($ip, $cidr) 这类轻量函数，不要引入大包
白名单数组里混写 '127.0.0.1' 和 '10.0.0.0/8' 是可以的，但解析逻辑要统一

Laravel 10+ 中间件里如何正确拦截非白名单请求

别用 abort(403) 粗暴终止——它会跳过后续中间件，且无法自定义响应头或日志上下文。应该返回一个 Response 实例，比如：

return response('Forbidden', 403)
    ->header('X-Content-Type-Options', 'nosniff');

使用场景上，IP 限制中间件通常放在路由中间件组里，但要注意顺序：必须在 EncryptCookies、StartSession 之后（它们不依赖 IP），但在 VerifyCsrfToken 之前（避免无效请求浪费 CSRF 校验开销）。

如果用了 API 路由，记得把中间件加到 api 中间件组，而不是 web
本地开发时，APP_ENV=local 下建议自动放行 127.0.0.1 和 ::1，避免反复改配置
别在中间件里查数据库做白名单判断，性能扛不住；缓存用 Cache::rememberForever() 加载一次就够了

为什么 `$request->ip()` 在 Nginx + PHP-FPM 下经常拿错

根本原因是 Nginx 默认不透传真实 IP，PHP 收到的 REMOTE_ADDR 是 Nginx 本机地址（比如 127.0.0.1）。必须在 Nginx 配置里显式设置：

laravel-specialist

精通 Laravel 10+，遵循现代 PHP 实践的 Laravel 专家。擅长优雅语法、Eloquent ORM、队列系统及企业级特性...

下载

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

然后 Laravel 才能通过 $request->ip() 正确拿到原始 IP——前提是 config/trustedproxy.php 或 TRUSTED_PROXIES 环境变量里填了 Nginx 的 IP（如 127.0.0.1）。

漏配 TRUSTED_PROXIES 是最常踩的坑，会导致 $request->ip() 返回 0.0.0.0 或空字符串
云服务（如 AWS ALB、Cloudflare）需要额外信任它们的 IP 段，不能只写 127.0.0.1
X-Forwarded-For 可被客户端伪造，所以必须配合 TRUSTED_PROXIES 做链路校验，不能无条件信任

IP 白名单配置该放哪、怎么热更新

配置项必须进 config/ip-whitelist.php 文件，而不是 .env —— 因为 IP 列表通常是结构化数据（数组/CIDR），.env 只适合扁平键值对。内容长这样就行：

return [
    'allowed' => [
        '127.0.0.1',
        '192.168.0.0/16',
        '2001:db8::/32',
    ],
];

热更新靠 Laravel 的配置缓存机制：改完运行 php artisan config:clear 即可，不用重启 FPM。但如果用 APCu 或 Redis 缓存了白名单本身，就得手动清对应 key。

别把白名单塞进数据库——除非你有后台动态管理需求，否则纯配置更稳更快
配置里别用注释说明“测试环境放开”，Laravel 不解析 PHP 注释；用条件判断：app()->environment('local') ? ['127.0.0.1'] : config('ip-whitelist.allowed')
上线前务必用 curl -H "X-Forwarded-For: 1.2.3.4" http://yoursite.com/test 模拟外部请求验证

真正麻烦的是混合网络环境：既有直连用户，又有经过多层代理的 API 调用，这时候 IP 校验逻辑得按请求头特征分流，不能一刀切。