phpenv 默认不记录真实客户端ip，需启用ngx_http_realip_module并配置可信代理段、修改日志格式、php层校验remote_addr与x-real-ip，四者缺一不可。
phpEnv 默认的 Nginx 配置不会记录真实客户端 IP，必须手动启用 ngx_http_realip_module 并正确配置可信代理段，否则日志和 PHP 中读到的全是 127.0.0.1 或内网地址。
phpEnv 的 Nginx 是否自带 realip 模块
绝大多数 phpEnv 安装包（如基于 Windows 的 WAMP/LNMP 封装版）编译时已静态包含 ngx_http_realip_module，无需重新编译。可用以下命令验证：
nginx -V 2>&1 | grep -o with-http_realip_module
若输出 with-http_realip_module，说明模块就绪；若无输出，需换用支持该模块的 phpEnv 版本或自行编译。
在 phpEnv 的 nginx.conf 中启用 realip 解析
phpEnv 通常将主配置放在 phpEnv\nginx\conf\nginx.conf 或 phpEnv\nginx\conf\extra\*.conf。关键点是：必须在 http 块中添加，且 set_real_ip_from 必须写在 real_ip_header 之前。
常见错误配置是只加了 proxy_set_header X-Real-IP $remote_addr 却没启用 realip 模块——这只能把 Nginx 自己的 IP（如 127.0.0.1）塞进 header，毫无意义。
- 如果你用 phpEnv 仅作本地开发，且没有前置 CDN/反向代理，只需信任本机：
set_real_ip_from 127.0.0.1;real_ip_header X-Real-IP;real_ip_recursive on; - 如果你通过 Apache 或另一个 Nginx 做前置代理（比如 phpEnv 被套在 IIS 后面），则要把那个代理的 IP 或网段填进
set_real_ip_from，例如：set_real_ip_from 192.168.1.100;set_real_ip_from 10.0.0.0/8; - 切勿写
set_real_ip_from 0.0.0.0/0—— 这等于允许任意 IP 伪造真实 IP，日志和限流将完全失效。
PHP 中安全获取真实 IP 的写法
即使 Nginx 正确设置了 X-Real-IP，PHP 仍不能直接信任 $_SERVER['HTTP_X_REAL_IP']，因为攻击者可能手动构造该 header。必须结合 $_SERVER['REMOTE_ADDR'] 校验来源是否可信。
以下逻辑适用于 phpEnv 环境（假设你只信任本机代理）：
$remoteAddr = $_SERVER['REMOTE_ADDR'] ?? '0.0.0.0';
$trustedProxies = ['127.0.0.1', '::1'];
$ip = 'unknown';
<p>if (in_array($remoteAddr, $trustedProxies)) {
if (!empty($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP)) {
$ip = $_SERVER['HTTP_X_REAL_IP'];
} elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
foreach ($ips as $candidate) {
if (filter_var($candidate, FILTER_VALIDATE_IP) &&
!filter_var($candidate, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
$ip = $candidate;
break;
}
}
}
}</p><p>// 最终 $ip 才是可信赖的真实客户端 IP</p>
注意：filter_var(..., FILTER_FLAG_NO_PRIV_RANGE) 会过滤掉 10.0.0.0/8、172.16.0.0/12、192.168.0.0/16 等私有地址——如果用户真在局域网访问，这段逻辑会返回 unknown，这是预期行为，不是 bug。
验证日志是否生效
修改 log_format 后，务必用 $realip_remote_addr（Nginx ≥ 1.11.0）或确认 $remote_addr 已被 realip 模块覆盖（旧版本）。phpEnv 默认日志格式不包含真实 IP，需显式替换：
log_format main '$realip_remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent"';
access_log "D:/phpEnv/nginx/logs/access.log" main;
改完配置后，必须执行 nginx -t && nginx -s reload，仅重启 phpEnv 控制面板可能不触发 Nginx 配置重载。
真实 IP 透传最易被忽略的点是：Nginx 模块启用、可信 IP 段声明、日志变量替换、PHP 层校验——四者缺一不可。少一个环节，127.0.0.1 就会一直出现在你的日志和风控系统里。
php免费学习视频：立即使用
踏上前端学习之旅，开启通往精通之路！从前端基础到项目实战，循序渐进，一步一个脚印，迈向巅峰！
