怎么通过 proxy_set_header 将客户端真实 IP 传递给后端-Nginx-PHP中文网

nginx透传真实ip需配置proxy_set_header设置x-real-ip、x-forwarded-for等头，并结合set_real_ip_from+real_ip_header识别可信代理，使$remote_addr还原为真实客户端ip，后端须主动解析对应头而非直接读取远程地址。

怎么通过 proxy_set_header 将客户端真实 ip 传递给后端

通过 proxy_set_header 将客户端真实 IP 传递给后端，关键在于正确设置 X-Forwarded-For 和 X-Real-IP 请求头，并确保 Nginx 能识别真实来源（而非上游代理或负载均衡器的 IP）。

明确真实 IP 的来源位置

Nginx 默认的 $remote_addr 是直接连接它的客户端 IP。但如果前面有 CDN、云负载均衡（如阿里云 SLB、AWS ALB）或另一层反向代理，$remote_addr 就变成那个中间节点的 IP，而非用户真实 IP。此时真实 IP 通常会放在请求头中，比如：

X-Forwarded-For：标准字段，格式为 X-Forwarded-For: client, proxy1, proxy2，最左边是原始客户端 IP；
X-Real-IP：非标准但常用，很多代理（如 Cloudflare）会直接设为真实 IP；
某些厂商用自定义头，如 X-Cluster-Client-IP（阿里云）、X-Forwarded-For（腾讯云）等。

在 location 或 server 块中配置 proxy_set_header

在 Nginx 的反向代理配置里（通常是 location / { ... }），添加如下指令：

proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;

说明：

FastAPI Flask Proxy

FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。

下载

$remote_addr 是当前与 Nginx 建立 TCP 连接的 IP —— 如果 Nginx 是最外层，它就是真实 IP；如果前面还有代理，需先用 set_real_ip_from + real_ip_header 指令修正 $remote_addr；
$proxy_add_x_forwarded_for 是 Nginx 内置变量，它会在原有 X-Forwarded-For 值后追加 $remote_addr（若无则直接设为 $remote_addr），避免覆盖原始链路；
X-Forwarded-Proto 用于告知后端当前是 http 还是 https，便于生成正确跳转链接。

处理多层代理时还原真实 IP

当 Nginx 不是第一层代理（例如前面有 CDN 或 SLB），必须告诉 Nginx 哪些 IP 是可信代理，才能从 X-Forwarded-For 中提取最左有效 IP：

set_real_ip_from 192.168.0.0/16;   # 内网代理网段
set_real_ip_from 10.0.0.0/8;
set_real_ip_from 203.205.128.0/17; # 阿里云 SLB 网段（按实际填写）
real_ip_header X-Forwarded-For;
real_ip_recursive on;

这样 Nginx 会信任这些来源的 X-Forwarded-For，并把 $remote_addr 替换为解析出的真实客户端 IP，后续 proxy_set_header X-Real-IP $remote_addr 才能传对。

后端应用如何获取真实 IP

后端语言需读取对应请求头，而不是直接取 TCP 远端地址：

Node.js（Express）：req.headers['x-real-ip'] || req.headers['x-forwarded-for']?.split(',')[0].trim()；
Python（Django）：request.META.get('HTTP_X_REAL_IP', request.META.get('HTTP_X_FORWARDED_FOR', '').split(',')[0].strip())；
Java（Spring Boot）：request.getHeader("X-Real-IP") 或使用 getRemoteAddr()（需配置 Tomcat 的 RemoteIpFilter）；
务必校验可信代理列表，防止伪造 X-Forwarded-For 头绕过限制。