ip_hash不是安全防护机制，仅用于会话保持；防Header伪造需依赖可信源校验、头部白名单和内网隔离三层组合策略。
直接说结论：ip_hash 本身不是防 Header 伪造的手段，它只是 Nginx 负载均衡的一种会话保持策略；真正防 Header 伪造（如 Host、X-Forwarded-For、X-Real-IP 等被篡改）靠的是「可信源校验 + 头部白名单 + 内网隔离」三层机制。把 ip_hash 当作安全措施，反而会误导防御重点。
别误用 ip_hash 做安全控制
ip_hash 的作用是让同一客户端 IP 的请求始终打到后端同一台服务器，用于解决 session 共享问题。但它：
- 不校验任何 HTTP 头部是否真实
- 不阻止攻击者伪造 X-Forwarded-For: 1.2.3.4 或 Host: evil.com
- 甚至可能加剧风险——比如把恶意伪造的 IP 固定路由到某台后端，导致该节点持续收到污染流量
真正有效的 Header 伪造防护组合
防御核心逻辑：只信任你明确知道来源的代理，其他所有头部一律忽略或覆盖。
-
Host 头防护：用 default_server 拦截非法域名
在 http 块中定义一个无 server_name 的兜底 server，并加 default_server 标志：server { listen 80 default_server; return 444; }
业务 server 必须显式写全合法域名：server_name example.com www.example.com; -
X-Forwarded-For 防护：只信你配置的上游
在 http 块中声明可信代理段：set_real_ip_from 192.168.10.0/24;（填你 CDN 或 LB 的真实出口 IP 段）
启用解析：real_ip_header X-Forwarded-For; real_ip_recursive on;
之后在 PHP 中永远用$_SERVER['REMOTE_ADDR']（已被 Nginx 修正），而不是读 $_SERVER['HTTP_X_FORWARDED_FOR'] -
禁用不可信头部：主动覆盖或清空
在 location 块中加：proxy_set_header X-Forwarded-For ""; proxy_set_header X-Real-IP "";
再通过proxy_set_header X-Real-IP $remote_addr;只传经 realip 模块确认的真实 IP 给后端
PHP 层必须同步加固
即使 Nginx 做了拦截，PHP 仍要杜绝“信任任意请求头”的习惯写法：
- 彻底弃用
$_SERVER['HTTP_X_FORWARDED_FOR']—— 它可被客户端任意伪造，例如X-Forwarded-For: 1.1.1.1, 127.0.0.1 - 只接受 Nginx 显式传入的
$_SERVER['HTTP_X_REAL_IP']，且前提是 Nginx 配置了proxy_set_header X-Real-IP $remote_addr; - 若用了阿里云 ESA 等边缘服务，优先取
$_SERVER['HTTP_ALI_REAL_CLIENT_IP']，它由边缘节点注入，无法被客户端伪造
额外建议：开启 TLS 指纹辅助识别
对于高风险接口（如登录、支付），可在 Nginx 或边缘层开启 TLS 指纹头（如 Tls-Ja3、Tls-Ja4），它们基于客户端 TLS 握手特征生成，极难伪造。配合 IP 校验，能有效识别自动化工具或异常客户端，不依赖 Header 可信度。
