proxy_set_header Forwarded 是 Nginx 实现 RFC 7239 标准代理头的核心方式，支持结构化字段（for/by/proto/host），比非标准的 X-Forwarded-* 更安全、可扩展；需手动拼接字符串，配合 realip 模块确保 $remote_addr 可信，并由后端用标准库安全解析。
使用 proxy_set_header Forwarded 是 Nginx 实现符合 RFC 7239 标准的代理信息传递的关键方式。它比老旧的 X-Forwarded-For 更规范、更安全、更可扩展，尤其适合多层代理、HTTPS 卸载、客户端协议识别等真实生产场景。
为什么必须用 Forwarded 而不是 X-Forwarded-*？
RFC 7239 定义的 Forwarded 是标准化的 HTTP 首部，支持结构化字段（如 for、by、proto、host），能明确表达“谁发起请求”“经由哪个代理”“原始协议是什么”。而 X-Forwarded-For 等自定义头是历史遗留方案，无统一语义，易被伪造，且无法区分真实客户端与中间跳数。
现代应用框架（如 Django、FastAPI、Express + trust proxy）、日志系统（如 ELK 的 dissect 过滤器）和 WAF（如 Cloudflare、AWS ALB）都原生支持或优先解析 Forwarded 头。
在 Nginx 中正确配置 proxy\_set\_header Forwarded
需手动拼接符合语法的字符串值。Nginx 不提供自动构造，但可通过变量组合实现安全、可读的写法：
-
基础安全写法（推荐）：
proxy_set_header Forwarded "for=$remote_addr;proto=$scheme;by=$server_addr:$server_port";
其中$remote_addr是直连 Nginx 的客户端 IP（若前有 LVS/CDN，需配合realip模块还原）；$scheme自动取http或https；$server_addr是当前 Nginx 实例地址。 -
支持 IPv6 和端口保留：
proxy_set_header Forwarded "for=\"[$remote_addr]\";proto=$scheme;by=\"[$server_addr]:$server_port\"";
IPv6 地址需加方括号包裹，引号转义避免解析错误。 -
若已启用 HTTPS 卸载（即 Nginx 终止 TLS）：
proxy_set_header Forwarded "for=$remote_addr;proto=https;by=$server_addr:$server_port";
强制设proto=https告知上游应用“用户实际走的是 HTTPS”，避免重定向循环或混合内容警告。
与 realip 模块协同：确保 $remote\_addr 可信
Forwarded 的价值前提是 for= 字段真实反映原始客户端。若 Nginx 前有 CDN 或负载均衡，$remote_addr 就是那个中间节点的 IP，而非用户真实 IP。
解决方案：
– 启用 ngx_http_realip_module；
– 设置可信来源（如 Cloudflare IP 段、公司内网网段）；
– 使用 set_real_ip_from + real_ip_header X-Forwarded-For 或 CF-Connecting-IP 还原；
– 配置后，$remote_addr 才真正代表终端用户，Forwarded for= 才有意义。
后端服务如何安全解析 Forwarded 头？
不能直接信任该头——攻击者可能伪造。正确做法是：
– 仅接受来自可信代理（如 Nginx 所在 IP 段）发来的 Forwarded；
– 在应用层校验 by= 是否匹配已知代理标识；
– 结合 trusted_proxies 配置（如 Flask 的 USE_X_FORWARDED_FOR、Django 的 SECURE_PROXY_SSL_HEADER 已不推荐，应迁移到 Forwarded 解析库）；
– 推荐使用标准解析库，例如 Python 的 forwarded 包（pip install forwarded），它自动验证语法、去重、防注入。
示例（FastAPI）：from forwarded import parse_forwardedforwarded = request.headers.get("Forwarded")if forwarded and is_trusted_proxy(request.client.host): parsed = parse_forwarded(forwarded) client_ip = parsed[0].get("for", "") # 安全提取原始 IP
