后端拿到的客户端ip全是127.0.0.1，说明nginx未透传真实ip，核心是需在proxy_pass配置中显式添加proxy_set_header x-real-ip $remote_addr、x-forwarded-for $remote_addr和host $host三行，并确保后端主动读取x-real-ip而非fallback到remote_addr。
后端拿到的客户端IP全是127.0.0.1，说明Nginx没有把真实请求来源IP透传下去，而是把自身回环地址当作了“客户端”。这通常发生在Nginx与后端服务部署在同一台机器、且未正确设置代理头时。核心不是加头，而是让后端能**可信地读到真实IP**。
确认Nginx是否在反向代理模式下工作
如果Nginx只是作为静态文件服务器或直接处理请求（非proxy_pass），那$remote_addr就是真实客户端IP，无需额外配置。但只要用了proxy_pass，就必须显式转发IP信息：
- 检查配置中是否存在
proxy_pass指令（如proxy_pass http://127.0.0.1:8080;） - 确认后端服务（如Spring Boot、Node.js）监听的是
127.0.0.1而非0.0.0.0——这本身不导致IP丢失，但容易掩盖配置问题 - 用
curl -H "X-Forwarded-For: 203.0.113.5" http://your-domain/测试：若后端日志突然出现该IP，说明它本就能读XFF，只是Nginx没给
基础代理头必须三行齐备
在location块或server块中添加以下三行（顺序和写法不能错）：
-
proxy_set_header Host $host;—— 防止后端重定向跳转到127.0.0.1 -
proxy_set_header X-Real-IP $remote_addr;—— 提供最简、不可伪造的真实IP字段 -
proxy_set_header X-Forwarded-For $remote_addr;—— 强制覆盖原始XFF，杜绝伪造（不是$proxy_add_x_forwarded_for）
⚠️ 注意：$proxy_add_x_forwarded_for会拼接客户端传来的XFF，若上游是恶意请求或中间有其他代理，会导致XFF开头出现伪造IP；直连公网或CDN时，必须用$remote_addr重置。
后端服务要明确信任X-Real-IP，而非解析XFF
很多框架默认忽略XFF或自动清理，例如Spring Boot内置Tomcat会删掉XFF末尾IP。更可靠的做法是让后端只读X-Real-IP：
- Java（Spring Boot）：
request.getHeader("X-Real-IP")，不要fallback到getRemoteAddr() - Python（Flask）：
request.headers.get("X-Real-IP", request.remote_addr)，但建议去掉fallback - Node.js（Express）：
req.headers["x-real-ip"] || req.ip，确保trust proxy已设为true（仅在Nginx同机部署时需谨慎）
如果后端仍返回127.0.0.1，用curl -v查看响应头里是否有X-Real-IP，没有则说明Nginx配置未生效或未重载。
验证与快速定位
改完配置后执行：
-
nginx -t && nginx -s reload确保语法正确并重载 - 在Nginx access_log中加入
$http_x_real_ip和$http_x_forwarded_for，观察日志是否出现真实IP - 从外网（不用localhost）访问，避免浏览器或本地hosts干扰
- 若用Docker，确认Nginx容器与后端容器网络互通，且
proxy_pass指向的是容器名或宿主机IP，不是127.0.0.1（容器内127.0.0.1是自己）
