asp.net core必须启用forwardedheadersmiddleware才能获取真实客户端ip，否则httpcontext.connection.remoteipaddress几乎总是代理ip或127.0.0.1；该中间件通过knownproxies白名单解析x-forwarded-for等头，缺配置或配错将导致ip伪造风险。
直接结论：不配置 ForwardedHeadersMiddleware，HttpContext.Connection.RemoteIpAddress 拿到的几乎肯定是代理 IP 或 127.0.0.1；仅靠读取 X-Forwarded-For 头而不校验来源，等于开放 IP 伪造入口。
ASP.NET Core 必须启用 ForwardedHeadersMiddleware
这个中间件不是“可选优化”，而是获取真实客户端 IP 的前提。它负责解析 X-Forwarded-For 和 X-Forwarded-Proto，并用可信代理列表“解包”出原始 IP。
常见错误配置：
- 只调用
app.UseForwardedHeaders()，没传ForwardedHeadersOptions→ 使用默认值，KnownProxies为空，信任所有请求头，极不安全 - 把 Nginx 的公网 IP（如
203.0.113.10）加进KnownProxies，但实际走的是内网地址（如10.0.0.5）→ 中间件不识别，拒绝解包 - 多层代理（CDN → Nginx → ASP.NET Core）只填了最外层 CDN 的 IP → 中间件只信任第一跳，后续
X-Forwarded-For被忽略
正确做法（Program.cs）：
app.UseForwardedHeaders(new ForwardedHeadersOptions
{
ForwardedHeaders = ForwardedHeaders.XForwardedFor | ForwardedHeaders.XForwardedProto,
KnownProxies = { IPAddress.Parse("10.0.0.5"), IPAddress.Parse("192.168.1.100") },
// 若代理是 IPv6，也需添加，如 IPAddress.Parse("fd00::1")
});
HttpContext.Connection.RemoteIpAddress 在启用后才有效
启用中间件后，RemoteIpAddress 不再是连接发起方的 IP，而是中间件解析后的结果 —— 也就是你真正要的日志、限流、风控所依赖的客户端 IP。
注意点：
- 必须在
UseRouting之前调用UseForwardedHeaders，否则路由中间件可能已读取连接信息 - 未启用时，该属性和
X-Forwarded-For完全无关；启用后，它就不再反映 TCP 连接端点，而是逻辑客户端 IP - 若仍返回
127.0.0.1，大概率是 Nginx 配置漏了proxy_set_header X-Forwarded-For $remote_addr;
ASP.NET Framework（.NET 4.x）只能手动解析 X-Forwarded-For
老项目没法用中间件，只能自己从请求头提取。但直接取 Request.Headers["X-Forwarded-For"] 是高危操作。
典型陷阱：
- 没做空值检查：
X-Forwarded-For在直连时根本不存在，直接.ToString()会抛NullReferenceException - 没拆分逗号：
"203.0.113.195, 198.51.100.100"是完整字符串，取首项必须用.Split(',').First().Trim() - 没校验格式：攻击者可伪造
X-Forwarded-For: <script>alert(1)</script>，不校验就入库或打日志，埋 XSS 风险 - 没排除私有地址：即使拿到
192.168.1.100，也不能当真实公网 IP 用
安全提取示例（C#）：
string forwarded = Request.Headers["X-Forwarded-For"];
string clientIp = null;
if (!string.IsNullOrEmpty(forwarded))
{
var ipStr = forwarded.Split(',').FirstOrDefault()?.Trim();
if (IPAddress.TryParse(ipStr, out var addr) && !IPAddress.IsPrivate(addr))
{
clientIp = addr.ToString();
}
}
if (string.IsNullOrEmpty(clientIp))
{
clientIp = Request.UserHostAddress; // fallback，但需注意此值已不可靠
}
X-Real-IP 和 X-Forwarded-For 优先级怎么选？
没有绝对优先级，取决于你用的代理类型：
-
X-Real-IP：AWS ALB、F5、部分 CDN 直接写入单个真实 IP，更干净，但非标准，不能假设一定存在 -
X-Forwarded-For：Nginx、Apache、Traefik 等通用反向代理的标准头，但格式复杂、易被伪造，必须配合可信代理白名单
推荐策略（代码中）：
string clientIp = null;
if (Request.Headers.TryGetValue("X-Real-IP", out var realIp) &&
IPAddress.TryParse(realIp, out var ip) &&
!IPAddress.IsPrivate(ip))
{
clientIp = ip.ToString();
}
else if (Request.Headers.TryGetValue("X-Forwarded-For", out var forwarded) &&
!string.IsNullOrEmpty(forwarded))
{
var firstIp = forwarded.ToString().Split(',').FirstOrDefault()?.Trim();
if (IPAddress.TryParse(firstIp, out ip) && !IPAddress.IsPrivate(ip))
{
clientIp = ip.ToString();
}
}
真正容易被忽略的点：哪怕你用了 KnownProxies，如果代理本身没在转发时保留原始 $remote_addr（比如 Nginx 漏配 proxy_set_header X-Forwarded-For $remote_addr;），中间件照样解不出真实 IP —— 配置必须两端对齐，缺一不可。
