如何通过 $http_x_forwarded_for 变量在多层代理环境下还原真实客户端 IP-Nginx-PHP中文网

应通过可信代理白名单结合x-forwarded-for递归解析获取真实客户端ip：nginx用set_real_ip_from+real_ip_header自动还原$remote_addr；应用层需逆序遍历xff列表，取首个不在可信网段的ip。

如何通过 $http_x_forwarded_for 变量在多层代理环境下还原真实客户端 ip

在多层代理（如 Nginx → CDN → 负载均衡器 → 应用服务器）环境中，直接使用 REMOTE_ADDR 只能得到最后一跳代理的 IP，而真实客户端 IP 被封装在 X-Forwarded-For（即 $http_x_forwarded_for）请求头中。但该字段可被伪造，不能直接信任——关键在于**只取可信代理链末端“追加”的那一段 IP**。

理解 $http_x_forwarded_for 的结构和风险

$http_x_forwarded_for 是一个由逗号分隔的 IP 列表，格式类似：
203.0.113.5, 198.51.100.2, 192.0.2.10
其中最左边是原始客户端 IP，后续是各级代理依次追加的上一跳 IP。但问题在于：攻击者可在发起请求时手动设置该头（如 X-Forwarded-For: 1.2.3.4），导致伪造。因此，**必须结合已知可信代理列表，从右向左识别第一个不可信 IP**。

只信任你明确控制的代理节点

你需要预先知道哪些 IP 或网段是你自己部署的代理（如公司 CDN 回源地址、内部负载均衡器出口 IP）。例如：

Nginx 所在服务器的上游是 AWS ALB，ALB 的出口 IP 段为 10.0.0.0/8 和 172.16.0.0/12（实际请查 AWS 官方文档）
或你自建的 CDN 回源 IP 是 203.0.113.100/32、203.0.113.101/32

这些才是“可信代理”。其余所有未列入白名单的 IP，都视为潜在不可信来源。

在 Nginx 中安全提取真实客户端 IP

利用 Nginx 的 set_real_ip_from + real_ip_header 指令，让 Nginx 自动解析并覆盖 $remote_addr，比手动读取 $http_x_forwarded_for 更可靠：

set_real_ip_from 10.0.0.0/8;     # 信任内网 ALB
set_real_ip_from 172.16.0.0/12;
set_real_ip_from 203.0.113.100;   # 信任特定 CDN 回源 IP
set_real_ip_from 203.0.113.101;
real_ip_header X-Forwarded-For;
real_ip_recursive on;

说明：

real_ip_recursive on 表示启用递归解析：Nginx 会从右往左，跳过所有匹配 set_real_ip_from 的 IP，把第一个不匹配的 IP 当作真实客户端 IP
配置生效后，$remote_addr 就是还原后的客户端 IP；$http_x_forwarded_for 不再需要手动拆解
务必关闭未授权客户端直连你的 Nginx（如防火墙限制仅允许 ALB/CDN IP 访问），否则攻击者绕过代理可伪造 X-Forwarded-For

应用层（如 PHP/Python/Node.js）如何配合

如果无法修改 Nginx 配置，或需在业务代码中二次校验，应遵循相同逻辑：

获取 X-Forwarded-For 值，按逗号分割成数组
逆序遍历（从右到左），逐个检查是否属于你信任的代理网段
遇到第一个 不属于 任何可信网段的 IP，即为真实客户端 IP
若全部 IP 都在可信列表中（极端情况），则 fallback 到 REMOTE_ADDR（表示请求未经过外部代理）

示例（Python Flask）：

from ipaddress import ip_address, ip_network
<p>TRUSTED_PROXIES = [
ip_network('10.0.0.0/8'),
ip_network('172.16.0.0/12'),
ip_address('203.0.113.100'),
ip_address('203.0.113.101'),
]</p><p>def get_real_ip(request):
xff = request.headers.get('X-Forwarded-For', '').strip()
if not xff:
return request.remote_addr
ips = [ip.strip() for ip in xff.split(',')]
for ip_str in reversed(ips):
try:
ip = ip_address(ip_str)
if not any(ip in net or ip == net for net in TRUSTED_PROXIES):
return str(ip)
except ValueError:
continue
return request.remote_addr</p>

不复杂但容易忽略：信任边界必须清晰，IP 白名单要定期同步更新，且永远不要在日志或鉴权中直接使用未经验证的 X-Forwarded-For 值。