PHP怎样获取客户端IP地址_PHP获取客户端IP地址方法【安全】-php教程-PHP中文网

最可靠的是 $_server['remote_addr']，因其由sapi层从socket获取、无法被http篡改；http_x_forwarded_for等头可被客户端任意伪造，仅在严格控制代理链（如nginx/cloudflare）并配合ip白名单验证时才可有条件信任。

php怎样获取客户端ip地址_php获取客户端ip地址方法【安全】

直接用 $_SERVER['REMOTE_ADDR'] 最可靠，其他字段（如 HTTP_X_FORWARDED_FOR）极易被伪造，不加校验就用等于主动开后门。

这个头由客户端或中间代理添加，浏览器、爬虫、恶意请求都能随意设置。比如发个 curl：

curl -H "X-Forwarded-For: 1.2.3.4, 192.168.0.100" http://yoursite.com

后端若直接取第一个值，就会把 1.2.3.4 当作真实 IP —— 完全不可信。

只有在你明确控制了前端代理（如 Nginx、Cloudflare），且代理配置了真实客户端 IP 到某个固定头（如 X-Real-IP），才能信任该头
若用了 CDN 或多层反向代理，HTTP_X_FORWARDED_FOR 可能含多个 IP，逗号分隔，最右才是“上一跳”，最左才可能是原始 IP —— 但依然可伪造
PHP 默认不会过滤或验证这些头，$_SERVER 数组照单全收

核心原则：除非你知道每个代理节点是谁、怎么配置的，否则不采信任何 HTTP_* 头。

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

直连场景（无 Nginx/CDN）：直接用 $_SERVER['REMOTE_ADDR']，它由 PHP SAPI 层从 socket 获取，无法被 HTTP 请求篡改
有可信反向代理（如内网 Nginx）：让 Nginx 固定设置一个自定义头，例如 set $real_ip $remote_addr; + proxy_set_header X-Real-IP $real_ip;，然后 PHP 中只读 $_SERVER['HTTP_X_REAL_IP']，并验证该请求确实来自内网 IP（如 $_SERVER['REMOTE_ADDR'] 是否在 10.0.0.0/8 内）
用 Cloudflare：启用 “IP Geolocation” 并在 Nginx 中配置 set_real_ip_from 和 real_ip_header CF-Connecting-IP，PHP 中再取 $_SERVER['HTTP_CF_CONNECTING_IP'] 才安全

下面这些代码看似方便，实则埋雷：

$ip = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? $_SERVER['REMOTE_ADDR'];

—— 一旦攻击者带了 X-Forwarded-For 头，就绕过 REMOTE_ADDR 直接用伪造 IP。

filter_var($ip, FILTER_VALIDATE_IP) 不够：它只校验格式，不防伪造
没检查 $_SERVER['REMOTE_ADDR'] 来源：如果代理没做 IP 白名单，攻击者可直连你的 PHP-FPM，让 REMOTE_ADDR 变成任意 IP
用 getenv('HTTP_X_FORWARDED_FOR')：和 $_SERVER 一样不可信，且在某些 SAPI（如 CLI）下行为不一致

真正安全的起点，是清楚知道流量路径上每一跳是否可控；否则，REMOTE_ADDR 就是你唯一该无条件依赖的字段。