要让后端获取真实客户端ip和原始host，需nginx透传x-real-ip与x-forwarded-for双header，并配置host头；后端须主动解析对应header，不可依赖getremoteaddr()；日志中记录真实ip需启用real_ip_module。
要让后端服务拿到真实的客户端 IP 和原始 Host，关键不是只加几个 header，而是 Nginx 正确透传 + 后端主动读取。缺一不可。
透传真实 IP 的两个核心 header
必须同时配置以下两项，才能覆盖多级代理场景：
-
X-Real-IP：直接设为
$remote_addr，它代表与 Nginx 建立 TCP 连接的上一级客户端（通常是直连用户或可信代理） -
X-Forwarded-For：用
$proxy_add_x_forwarded_for，它会自动在原有值末尾追加当前请求的真实 IP，适合多层 CDN 或负载均衡链路
示例配置：
proxy_set_header X-Real-IP $remote_addr;proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
保留原始 Host 头的三种写法
Host 头决定后端如何生成 URL、做虚拟主机路由。不设置或设错，容易导致 400 错误或跳转到内部地址：
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
-
proxy_set_header Host $host;—— 最常用，取客户端请求里的 Host（含端口，如 example.com:8080） -
proxy_set_header Host $http_host;—— 更严谨，优先使用请求头中已有的 Host 字段（若为空则不传） -
proxy_set_header Host $server_name;—— 强制固定为 Nginx server 块配置的域名，适合后端只认一个入口域名的场景
后端必须自己解析，Nginx 不会自动“替换” remote_addr
Nginx 只负责把 IP 写进 header，后端代码仍需手动提取：
- Node.js/Express：用
req.headers['x-real-ip']或req.headers['x-forwarded-for'].split(',')[0].trim() - Next.js Pages Router API Route：
req.headers['x-real-ip'] - Next.js App Router 中间件：
request.headers.get('x-real-ip') - Java Servlet：
request.getHeader("X-Real-IP")，而非getRemoteAddr()
注意：X-Forwarded-For 可能是逗号分隔的多个 IP（如 203.0.113.1, 198.51.100.2），最左边才是用户真实 IP，右边是各级代理节点。
额外建议：配合 real_ip_module 提升日志准确性
如果还希望 Nginx 自己的日志（access_log）也记录真实 IP，需启用 real_ip_module 并配置：
real_ip_header X-Real-IP;
real_ip_recursive on;
这样 $remote_addr 在日志里就变成真实 IP，无需再从 header 解析。
