首层防护（如waf/cdn）必须用$remote_addr设x-real-ip和x-forwarded-for；中间代理只透传不覆盖；后端需配置realip_module校验可信源并解析x-forwarded-for首段。
单纯在某一层 Nginx 里写 proxy_set_header X-Real-IP $remote_addr 不仅不能确保真实源 IP 全链路透传，反而容易覆盖上游已传的正确值，导致后端拿到的是中间代理的 IP。安全防护层（如 WAF、CDN）参与链路时，关键不是“设不设”，而是“谁来设、怎么设、设给谁看”。
首层防护必须用 $remote_addr 初始化 X-Real-IP
最靠近客户端的安全防护层（例如云 WAF 或边缘 CDN）是唯一能直接看到真实用户 IP 的节点。它必须将自身连接的客户端地址写入头字段：
-
proxy_set_header X-Real-IP $remote_addr;—— 这是源头可信赋值 -
proxy_set_header X-Forwarded-For $remote_addr;或$proxy_add_x_forwarded_for—— 确保链路可追溯，且不破坏已有结构 - 该步骤不可被后续任何代理重写或跳过；若缺失，整条链路就失去可信起点
中间代理层只透传、不覆盖 X-Real-IP
第二层及之后的代理（如业务网关、内网 Nginx）不能用自己的 $remote_addr 覆盖 X-Real-IP，否则源头信息即被污染：
- 正确做法：
proxy_set_header X-Real-IP $http_x_real_ip;—— 直接继承上游传来的值 - 同时追加自身到
X-Forwarded-For：proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - 若上游未传
X-Real-IP（如直连绕过 WAF），该字段为空，后端需降级解析X-Forwarded-For首段
后端必须校验可信来源，而非无条件信任 X-Real-IP
X-Real-IP 可被客户端伪造，若请求可能绕过首层防护（如内网调试直连），直接读取该头存在风险：
- 应在后端 Nginx 启用
http_realip_module，配置可信防护网段：set_real_ip_from 203.205.0.0/16;（按实际 WAF/CDN 出口段填写） - 指定解析头：
real_ip_header X-Real-IP;或更推荐real_ip_header X-Forwarded-For;（兼容性更强） - 开启递归解析：
real_ip_recursive on;—— 自动剔除所有可信代理 IP，留下最左原始 IP，并同步更新$remote_addr
应用代码要读对字段，且做基础合法性判断
Nginx 设置完头，后端仍默认返回连接方地址（如 REMOTE_ADDR）。必须显式提取并简单校验：
- PHP：
$_SERVER['HTTP_X_REAL_IP'] ?? $_SERVER['REMOTE_ADDR']，再检查是否为公网 IPv4/IPv6 - Python Flask：
request.headers.get('X-Real-IP') or request.remote_addr，避免空值或私有地址（如 127.0.0.1、10.0.0.0/8） - Java Servlet：
request.getHeader("X-Real-IP")，配合白名单过滤逻辑 - 注意：
X-Forwarded-For是逗号分隔字符串（如203.0.113.45, 198.51.100.1），取首段即可，但前提是已启用 realip 模块做过校验
