nginx 使用 proxy_pass 转发时不自动携带地理位置信息，需通过 geoip2 模块解析真实客户端 ip 获取国家、城市等字段，并用 proxy_set_header 注入请求头；若前有 cdn 或代理，须配合 real_ip 模块还原真实 ip，确保地理识别准确。
在 Nginx 中使用 proxy_pass 转发请求时，本身不会自动携带客户端地理位置信息（如国家、城市、经纬度等），因为这些数据不属于 HTTP 协议标准头。你需要先通过外部服务（如 IP 归属地数据库或第三方 API）获取地理位置，再将结果注入到转发请求的请求头中。
1. 用 GeoIP2 模块解析客户端 IP 并提取地理信息
Nginx 官方推荐的方式是使用 ngx_http_geoip2_module（需编译安装），它支持 MaxMind 的 GeoLite2 数据库，能从客户端真实 IP 提取 country、city、latitude、longitude 等字段。
配置示例：
# 在 http 块中加载数据库和定义变量
geoip2 /usr/share/GeoIP/GeoLite2-City.mmdb {
$geoip2_data_country_code source=$remote_addr country iso_code;
$geoip2_data_city_name source=$remote_addr city name;
$geoip2_data_latitude source=$remote_addr location latitude;
$geoip2_data_longitude source=$remote_addr location longitude;
}
<h1>在 server 或 location 块中转发时注入</h1><p>location /api/ {
<a style="color:#f60; text-decoration:underline;" title="proxy" href="https://m.php.cn/zt/17651.html" target="_blank">proxy</a>_set_header X-Client-Country $geoip2_data_country_code;
proxy_set_header X-Client-City $geoip2_data_city_name;
proxy_set_header X-Client-Lat $geoip2_data_latitude;
proxy_set_header X-Client-Lon $geoip2_data_longitude;
proxy_pass <a href="https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e">https://www.php.cn/link/65b5b8d1f89bf53a5713bc3afdd83e9e</a>;
}
</p>2. 确保传递真实客户端 IP
如果 Nginx 前面有 CDN、负载均衡器或反向代理（如 Cloudflare、ALB），$remote_addr 会变成上游代理的 IP，导致地理信息错误。必须用 real_ip 模块还原真实 IP：
- 启用
ngx_http_realip_module（通常已内置） - 配置
set_real_ip_from指定可信代理网段 - 设置
real_ip_header（如X-Forwarded-For或X-Real-IP）
示例：
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
set_real_ip_from 10.0.0.0/8; set_real_ip_from 172.16.0.0/12; set_real_ip_from 192.168.0.0/16; real_ip_header X-Forwarded-For; real_ip_recursive on;
3. 替代方案：用 Lua 脚本调用外部地理 API（适合动态场景）
若需更高精度（如行政区划编码、运营商、时区）或使用自建服务，可用 nginx-lua（OpenResty）在 access_by_lua_block 中异步查 IP 库或调用 HTTP 接口，再 set $variable 供 proxy_set_header 使用。
注意：避免阻塞式网络请求；建议预加载本地 MMDB + Lua binding（如 lua-resty-maxminddb）提升性能。
4. 后端如何接收和验证这些头
注入的头（如 X-Client-City）只是字符串，后端需自行解析和信任。建议：
- 统一约定头命名规范（如全小写加中划线）
- 对敏感逻辑（如区域限流、内容定向）做二次校验（例如结合 GPS 上报或用户授权位置）
- Nginx 层可加
map块做简单过滤（如屏蔽空值或非法字符）
不复杂但容易忽略。关键在链路完整：真实 IP → 准确解析 → 安全注入 → 后端合理使用。
