koa中ctx.ip返回代理ip是因为默认不信任反向代理，需显式设app.proxy=true并结合可信代理白名单逆序校验x-forwarded-for列表，取首个不可信ip才安全。
koa 中 ctx.ip 为什么总是返回代理 IP？
因为默认不信任任何反向代理，ctx.ip 直接取自 socket.remoteAddress —— 在多层 SSL 反向代理（如 Nginx → Cloudflare → 用户）下，这个地址永远是最后一层代理的内网 IP，比如 172.17.0.1 或 10.0.0.3。
必须显式启用代理信任才能让 Koa 解析 x-forwarded-for 等头部：
-
app.proxy = true是硬性前提，缺它一切头部提取都无效 - 仅设
app.proxy = true不够：Koa 默认只信任直连的单层代理，对 Cloudflare、CDN、SLB 这类前置 SSL 终结点不会自动降级处理 - 若代理链中某一层未透传
x-forwarded-for（比如 Cloudflare 默认开启“IP Geolocation”但关闭“Forwarding”），后续层就收不到原始 IP
如何安全提取多层代理后的第一个真实客户端 IP？
不能无脑取 x-forwarded-for 的第一个值 —— 攻击者可伪造该头绕过限流或封禁。真正安全的做法是结合可信代理列表 + 头部校验：
- 用
ctx.request.get('x-forwarded-for')获取完整链，再按.split(',').map(s => s.trim())拆成数组 - 检查你实际部署的可信代理 IP 段（如 Nginx 容器网段
172.18.0.0/16、Cloudflare ASN 列表），从右往左剔除已知代理 IP - 剩余最左边那个 IP 才是可信客户端 IP；如果全被剔完， fallback 到
ctx.socket.remoteAddress - 务必忽略
x-real-ip—— 它只在 Nginx 直连时可靠，经 Cloudflare 后该头通常为空或被覆盖
示例逻辑（非完整中间件，仅示意判断链）：
VSCode 1.118
下载
微软正式发布 Visual Studio Code 1.118 版本 。本次更新重点强化了 AI 开发体验与企业管理能力，其中最引人注目的是新增 Copilot CLI 远程控制功能，允许开发者通过手机或网页远程监控和接管 AI 会话 。同时，为了提高 AI 的运行性价比，新版本优化了令牌缓存策略以降低成本 。此外，1.118 版还引入了 Chronicle 本地历史追踪、TypeScript 7.0 支持以及更严格的企业级访问管控 。
const trustedProxies = ['172.18.0.0/16', '104.16.0.0/12']; // Cloudflare IPv4 段
const forwarded = ctx.get('x-forwarded-for')?.split(',') || [];
let clientIP = ctx.ip;
for (let i = forwarded.length - 1; i >= 0; i--) {
const ip = forwarded[i].trim();
if (!isTrustedProxy(ip, trustedProxies)) {
clientIP = ip;
break;
}
}
VSCode 调试时为什么看不到真实 IP？
本地调试时，请求走的是 localhost:3000，没经过任何代理，x-forwarded-for 头根本不存在。此时 ctx.ip 就是 127.0.0.1，和生产环境行为完全不一致。
- 不要在本地用浏览器直接访问
http://localhost:3000测试 IP 获取逻辑 - 真要调试，得模拟代理链：用本地 Nginx 做一层反向代理，并配置
proxy_set_header x-forwarded-for $remote_addr - 或者改 Hosts + 使用公网域名访问开发机（需端口转发+防火墙放行），让流量真实穿过代理层
- VSCode 的
launch.json无法改变 HTTP 请求头来源，它只控制 Node 进程启动方式，不干预网络层
Nginx + SSL 终结场景下容易漏掉的关键配置
当 Nginx 做 SSL 终结（即 HTTPS → HTTP 内部转发），且前面还有 Cloudflare 或其他 CDN 时，常见遗漏点如下：
-
proxy_set_header x-forwarded-proto $scheme必须加 —— 否则下游服务无法区分原始是 HTTP 还是 HTTPS，影响重定向和安全头生成 -
proxy_set_header x-forwarded-for $proxy_add_x_forwarded_for不能写成$remote_addr，否则会覆盖已有链，丢失最外层真实 IP - 若启用了
real_ip_header X-Forwarded-For和set_real_ip_from（用于 Nginx 自身日志记录），必须确保这些指令作用于同一location块，且set_real_ip_from包含所有上游可信代理 IP - Cloudflare 的 “Full (strict)” SSL 模式要求后端验证证书，若 Nginx 未配
proxy_ssl_trusted_certificate，可能静默丢弃部分头部
真实 IP 获取不是单纯读一个 header，而是代理链、信任边界、头部传递、代码解析四者咬合的结果。少一环，拿到的就是假 IP。
