必须配置RemoteIPInternalProxy，否则mod_remoteip会误将X-Forwarded-For中最右边的私有IP（如ALB内网地址172.16.3.14）当作真实客户端IP；需显式声明可信代理网段，确保取最左有效公网IP。
mod_remoteip为什么必须配RemoteIPInternalProxy
不设这个指令，mod_remoteip 会把 X-Forwarded-For 里最右边的 IP 当作真实客户端 IP，而多级代理下它其实是最后一级跳板机的内网地址。比如请求链是 client → CDN → ALB → Apache，X-Forwarded-For 可能是 203.0.113.5, 198.51.100.2, 172.16.3.14，其中 172.16.3.14 是 ALB 的私有 IP —— 如果没告诉 Apache 哪些 IP 属于可信代理，它就会误选这个。
必须显式列出所有前置代理的网段：
-
RemoteIPInternalProxy 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16（覆盖常见私有网段） - 若用了云厂商负载均衡（如 AWS ALB、阿里云 SLB），查清其出口 IP 段并追加，例如
RemoteIPInternalProxy 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16 100.64.0.0/10 - 公网 CDN（如 Cloudflare）需单独处理：它们用的是
CF-Connecting-IP头，不能靠X-Forwarded-For，此时要配合RemoteIPHeader CF-Connecting-IP并禁用默认头解析
多级代理中X-Forwarded-For的拼接顺序怎么影响解析
Apache 默认信任 X-Forwarded-For 最左边的 IP（即第一个），但前提是整个链路每级都正确追加，而不是覆盖。如果某一级写了 RequestHeader set X-Forwarded-For %{REMOTE_ADDR}e，就会把整条链清空重写，后端看到的就只剩它自己 —— 这直接破坏溯源。
正确做法是逐级“追加”，不是“覆盖”：
- 第一级（公网入口）：
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" - 第二级及之后：
RequestHeader edit X-Forwarded-For ^(.*)$ "$1, %{REMOTE_ADDR}e" - 确保所有中间节点都启用
ProxyPreserveHost On，否则 Host 头丢失会导致后端路由错乱，间接影响 IP 日志上下文关联
mod_remoteip生效后，哪些变量和日志字段会变
mod_remoteip 不是只改日志，它会真正替换连接层的客户端标识。生效后以下内容全部更新为真实客户端 IP：
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
-
REMOTE_ADDR环境变量（PHP 的$_SERVER['REMOTE_ADDR']、Python 的request.remote_addr） - 访问日志中的 %a 占位符（
LogFormat "%a %l %u ..." combined） - 基于 IP 的模块行为：如
mod_evasive封禁、mod_authz_host的Require ip判断、mod_ssl的 Client IP 记录
注意：%{X-Forwarded-For}i 日志字段仍显示完整链，可用于审计回溯，但它只是原始头值，不参与逻辑判断。
为什么日志里IP对了，但PHP里还是拿不到真实IP
常见原因是 PHP 运行在 CGI/FastCGI 模式（如 php-fpm），而 mod_remoteip 修改的是 Apache 连接层的 REMOTE_ADDR，但 FastCGI 协议默认不透传这个值 —— 它传的是 Apache 进程自己的 REMOTE_ADDR，也就是代理 IP。
必须额外配置 FastCGI 参数：
- 在
ProxyPass或FcgidExternalServer配置中加：env="REMOTE_ADDR=%{REMOTE_ADDR}e" - 或在 php-fpm pool 配置里加：
env[REMOTE_ADDR] = $remote_addr（需 Apache 通过SetEnvIf把变量传过去） - 验证方式：在 PHP 中打印
var_dump($_SERVER['REMOTE_ADDR'], $_SERVER['HTTP_X_FORWARDED_FOR']);，前者应为真实 IP，后者为字符串链
最容易被忽略的是 FastCGI 环境隔离 —— mod_remoteip 再准，不透传到 PHP 进程里就白搭。
