ThinkPHP 6 默认不校验 X-Forwarded-For，直接信任该头导致 IP 伪造风险；必须手动配置 trust_proxies 白名单并规范 Nginx 代理头透传，否则 Request::ip() 将返回恶意伪造 IP。
ThinkPHP 6 默认不校验 X-Forwarded-For，直接取会出问题
ThinkPHP 6 的 Request::ip() 默认信任 X-Forwarded-For（或 X-Real-IP）头，只要这些头存在就优先返回其值，**完全不校验来源是否可信**。如果你的服务器直连公网（没套 Nginx / CDN / SLB），攻击者伪造该 Header 就能轻易污染日志、绕过频率限制、冒充 IP 封禁策略。
真正安全的做法是：只在明确知道前端有可信反向代理（如公司内网 Nginx）时，才启用可信代理 IP 白名单，并关闭对未签名请求头的盲信。
-
Request::ip()底层调用的是think\Request::realIP()，它默认开启trust_proxy，且白名单是空数组 —— 这意味着它会无条件信任任意X-Forwarded-For - 必须手动配置
trust_proxies（TP6.1+）或trusted_host（旧版），否则无法启用真实 IP 校验逻辑 - 若你用的是阿里云 SLB、腾讯云 CLB 或 Cloudflare，它们默认不会透传原始客户端 IP 到后端，而是改写
X-Forwarded-For；此时你得确认它们是否在X-Forwarded-For最右追加真实 IP（标准行为），并确保你的 Web 服务器（Nginx）没二次篡改该头
如何正确配置可信代理 IP 白名单（TP6.1+）
核心是让框架只从已知可信代理发来的请求中解析 X-Forwarded-For，其余请求一律走 $_SERVER['REMOTE_ADDR']。
在 config/request.php 中设置：
'trust_proxies' => [
'127.0.0.1',
'10.0.0.0/8',
'172.16.0.0/12',
'192.168.0.0/16',
// 如果是阿里云 SLB，填它的私网出口 IP 段（非控制台显示的“SLB IP”，而是实际打到你 ECS 的源 IP）
// 注意：不要填公网 IP，SLB 到 ECS 走的是内网
],
- 白名单必须是后端服务器能直接收到请求的「上一跳」IP，不是 CDN 域名或负载均衡控制台显示的 VIP
- 如果用了多层代理（例如 CDN → Nginx → PHP-FPM），只填最靠近 PHP 的那层（即 Nginx 所在机器的 IP 或网段）
- 填错会导致所有请求都 fallback 到
$_SERVER['REMOTE_ADDR']，看起来像“全变成 127.0.0.1”或“全是内网 IP” - TP6.0 不支持
trust_proxies，需手动重写realIP()方法或升级
Request::ip() 和 Request::realIP() 的区别与误用风险
Request::ip() 是业务常用入口，但它内部做了“自动降级”：当 X-Forwarded-For 不可信时，会退回到 $_SERVER['REMOTE_ADDR'] —— 但这个判断依赖你是否配置了 trust_proxies。没配，它就永远优先用伪造头；配了，它才按规则解析。
Request::realIP() 是底层方法，行为更确定：它只在 trust_proxies 非空且当前请求来源 IP 在白名单中时，才从 X-Forwarded-For 取最右非私有 IP；否则直接返回 $_SERVER['REMOTE_ADDR']。
- 别在中间件或登录逻辑里直接用
$request->ip()做风控，除非你 100% 确认trust_proxies已生效 - 调试时可用
var_dump($request->server('HTTP_X_FORWARDED_FOR'), $request->server('REMOTE_ADDR'));对比原始头和真实连接 IP - 某些云厂商（如华为云 ELB）会把真实 IP 放在
X-Original-Forwarded-For，这时需自定义获取逻辑，TP 默认不识别
Nginx 配置不当会让 ThinkPHP 的 IP 校验失效
即使 TP 配置了 trust_proxies，如果 Nginx 把 X-Forwarded-For 头透传给了所有请求（包括直连的恶意请求），TP 仍会误以为那是可信代理传来的。
务必检查 Nginx 的 proxy 设置：
location / {
proxy_set_header X-Forwarded-For $remote_addr;
# ✅ 正确：只在代理链中追加，不覆盖
# proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
<pre class="brush:php;toolbar:false;"># ❌ 危险：把任意客户端传来的 X-Forwarded-For 全部透传
# proxy_pass_request_headers on;}
-
$proxy_add_x_forwarded_for会在原有值后追加$remote_addr，保证最右是真实客户端 IP（前提是上游没伪造） - 如果 Nginx 前还有 CDN，确保 CDN 关闭“透传用户自定义 Header”功能，否则攻击者 curl -H "X-Forwarded-For: 1.2.3.4" 会直达你的 PHP
- 用
curl -H "X-Forwarded-For: 999.999.999.999" http://your-site.com测试：没配白名单时，Request::ip()返回 999...；配了且 Nginx 正确时，应返回你服务器的REMOTE_ADDR（如 127.0.0.1 或内网 IP）
真实 IP 校验不是开个开关就能用的，它是一条链：CDN/Nginx 是否规范写头 → Nginx 是否拒绝客户端伪造头 → ThinkPHP 是否只信指定代理 → 你代码里是否始终用 realIP() 而非盲目信任 ip()。漏掉任何一环，伪造就成立。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
