怎么在 Apache 反向代理中传递客户端真实 IP（X-Forwarded-For）-Apache-PHP中文网

apache反向代理下后端获取真实ip需三步：上游代理设置x-forwarded-for头；apache用mod_remoteip模块解析并替换remote_addr；后端代码兜底取该头首个有效ip。

怎么在 apache 反向代理中传递客户端真实 ip（x-forwarded-for）

在 Apache 做反向代理时，后端服务看到的 REMOTE_ADDR 默认是 Apache 本机地址（比如 127.0.0.1），不是用户真实 IP。要让后端正确识别真实客户端 IP，关键在于：前端代理必须生成并传递 X-Forwarded-For 头，Apache 要确保该头被准确转发，且后端应用能安全解析它。

确保上游代理正确设置 X-Forwarded-For

Apache 本身不生成这个头，它依赖上游（如 Nginx、CDN 或另一个 Apache）主动添加。常见配置方式：

Nginx 反向代理中需包含：proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
腾讯云 CDN、阿里云 CDN、Cloudflare 等默认携带该头，且最左侧 IP 通常是用户真实 IP
若 Apache 自身作为前端代理（即负载均衡器），需显式配置：
```
<ifmodule mod_proxy.c><br>
    ProxyRequests Off<br>
    ProxyPreserveHost On<br>
    RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e"<br></ifmodule>
```
注意：RequestHeader set 会覆盖而非追加，生产环境更推荐用 $proxy_add_x_forwarded_for 类逻辑（需配合 mod_headers 和变量扩展）

在 Apache 日志中记录真实 IP

仅记录不改变应用层行为，适合做访问分析或审计：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

编辑 httpd.conf 或虚拟主机配置，修改或新增 LogFormat：
LogFormat "%{X-Forwarded-For}i %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined_realip
再用 CustomLog 指向该格式：
CustomLog logs/access_log combined_realip
重启 Apache 后，日志首字段即为 X-Forwarded-For 的完整值（例如 203.0.113.45, 192.168.1.10），首个 IP 是客户端真实地址
注意：此时 %h 仍显示代理 IP，可同时保留用于链路排查

让 PHP/Java 等后端真正读到真实 IP

仅靠日志记录不够，应用代码调用 $_SERVER['REMOTE_ADDR'] 或 request.getRemoteAddr() 还是内网地址。必须启用 mod_remoteip：

确认模块已加载：LoadModule remoteip_module modules/mod_remoteip.so

在全局或虚拟主机中配置：

RemoteIPHeader X-Forwarded-For<br>
  RemoteIPInternalProxy 127.0.0.1<br>
  RemoteIPInternalProxy 192.168.0.0/16<br>
  RemoteIPTrustedProxy 10.0.0.0/8

（RemoteIPInternalProxy 列出你信任的代理 IP 段；RemoteIPTrustedProxy 可选，用于多级可信链）

配置生效后，REMOTE_ADDR 就会被替换成 X-Forwarded-For 中最左边的有效 IP，PHP 的 $_SERVER['REMOTE_ADDR']、Java 的 getRemoteAddr() 即可直接使用
务必限制内部代理范围——否则攻击者伪造 X-Forwarded-For 可轻易欺骗 IP 校验

后端代码兼容性补充（推荐兜底逻辑）

即使启用了 mod_remoteip，部分老旧应用或中间件可能未适配。建议后端仍做轻量判断：

PHP 示例：

$ip = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? $_SERVER['REMOTE_ADDR'];<br>
  $ip = explode(',', $ip)[0] ?? $ip;<br>
  $ip = trim($ip);

Java 示例：

String ip = request.getHeader("X-Forwarded-For");<br>
  if (ip != null && !ip.isEmpty() && !"unknown".equalsIgnoreCase(ip)) {<br>
    ip = ip.split(",")[0].trim();<br>
  } else {<br>
    ip = request.getRemoteAddr();<br>
  }

重点：不要无条件信任整个 X-Forwarded-For 字符串，只取第一个非空、非 “unknown” 的 IP，并确保该请求确实来自可信代理