phpEnv配置Nginx多级代理 phpEnv获取真实IP-php教程-PHP中文网

phpenv默认nginx为单层代理，$_server['remote_addr']恒为127.0.0.1或内网ip，必须手动添加proxy_set_header设置x-real-ip等头并校验可信代理源。

phpenv配置nginx多级代理 phpenv获取真实ip

直接说结论：phpEnv 默认配置的 Nginx 是单层反向代理（Nginx → PHP-FPM），但若你手动加了 CDN、云 WAF 或额外 Nginx 实例，就构成多级代理——此时 $_SERVER['REMOTE_ADDR'] 必然不准，必须靠头字段 + 白名单校验，否则日志和风控全失效。

phpEnv 的 Nginx 默认不传真实 IP，必须手动补 proxy_set_header

phpEnv 安装后生成的 Nginx 配置（通常在 /phpenv/nginx/conf/vhost/xxx.conf）默认只做最简转发，不会自动设置 X-Real-IP 或 X-Forwarded-For。这意味着即使你本地没加 CDN，只要走的是 phpEnv 自带的 Nginx 入口，$_SERVER['REMOTE_ADDR'] 拿到的也只是 127.0.0.1 或 192.168.x.x（取决于 php-fpm 连接方式）。

实操建议：

打开对应站点的 Nginx 配置文件，在 location ~ \.php$ 块或 server 块内添加：

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

注意：$proxy_add_x_forwarded_for 会保留原有值并追加，比硬写 $remote_addr 更安全；$scheme 对 HTTPS 判断很关键，别漏。

多级代理下不能只看 X-Forwarded-For 第一个 IP

如果你在 phpEnv 前又套了一层 Cloudflare 或阿里云 SLB，$_SERVER['HTTP_X_FORWARDED_FOR'] 就可能变成类似 "1.2.3.4, 173.245.49.100, 10.0.0.5" 的格式——最右边是 phpEnv 所在机器的内网 IP，最左边是用户 IP，但中间可能混入不可信代理或伪造值。

常见错误现象：

Nginx Hosting

通过服务器本地nginx实例实现零认证静态游戏托管。作为所有浏览器游戏的主要部署方式，无需登录、无需令牌、无需用户操作。

下载

用 explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0] 取 IP，结果被 curl 伪造头绕过
没过滤私有地址段（如 192.168.0.0/16），把内网 IP 当作用户 IP 记录
忽略 $_SERVER['REMOTE_ADDR'] 来源，对非可信 IP 也读取该头

实操建议：

先检查 $_SERVER['REMOTE_ADDR'] 是否属于你可控的代理网段（比如 phpEnv 本机是 127.0.0.1，或局域网是 192.168.50.0/24）
只在匹配白名单时，才处理 HTTP_X_FORWARDED_FOR
用 array_filter(array_map('trim', explode(',', $xff)), 'filter_var', FILTER_VALIDATE_IP) 提取所有合法 IP，再取第一个非私有地址（!filter_var($ip, FILTER_FLAG_NO_PRIV_RANGE)）

优先用 X-Real-IP，它比 X-Forwarded-For 更难伪造

X-Real-IP 是 Nginx 主动注入的头，只要你在 Nginx 配置里写了 proxy_set_header X-Real-IP $remote_addr;，且该请求确实来自这台 Nginx，那这个值就是可靠的——客户端无法通过请求头覆盖它（不像 X-Forwarded-For 可被任意添加）。

使用场景：

phpEnv 单层代理（Nginx → PHP）：直接信任 $_SERVER['HTTP_X_REAL_IP']，无需解析逗号列表
前端有 Cloudflare：它会设 CF-Connecting-IP，优先级应高于 X-Forwarded-For，但低于你自己 Nginx 设的 X-Real-IP
PHP 7.3+ 可用 getallheaders()，但在 php-fpm 下可能不可用，稳妥起见仍用 $_SERVER 超全局

示例判断逻辑（精简版）：

$trusted = ['127.0.0.1', '192.168.50.0/24'];
$ip = null;
if (in_array($_SERVER['REMOTE_ADDR'], $trusted) || ip_in_range($_SERVER['REMOTE_ADDR'], $trusted)) {
    if (!empty($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP)) {
        $ip = $_SERVER['HTTP_X_REAL_IP'];
    }
}

（ip_in_range() 需自行实现 CIDR 解析，别只用 == 判段）

最容易被忽略的一点：Nginx 的 set_real_ip_from 和 real_ip_header 指令虽能“让 $_SERVER['REMOTE_ADDR'] 变真实”，但它要求你把真实 IP 写进指定 header（如 X-Real-IP），然后 Nginx 主动替换——这在 phpEnv 多级代理中容易配错层级，反而让 REMOTE_ADDR 变成空或错乱。不如老老实实读 HTTP_X_REAL_IP 并校验来源。

php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！