原来基于IP的封禁策略迁FrankenPHP怎么平移-php教程-PHP中文网

frankenphp 迁移中 ip 封禁需从 nginx 配置下沉至 caddy 的 matchers+respond 或 php 应用层；caddy 不解析 deny/allow，须用 remote_ip 匹配并注意真实 ip 提取；复杂规则建议 php 层校验，同时需配置 trusted_proxies 防伪造。

原来基于ip的封禁策略迁frankenphp怎么平移

ip_restricted 这类基于 IP 的封禁逻辑，在迁移到 FrankenPHP 时不能直接复用 Nginx 的 deny 指令或 PHP-FPM 层面的访问控制，因为 FrankenPHP 没有内置“IP 黑名单语法”，也不解析 Nginx 配置里的 allow/deny 块。你得把封禁逻辑从 Web 服务器层下沉到应用层或 Caddy 中间件层，否则请求根本不会被拦住。

FrankenPHP 不认 Nginx 的 deny/allow 规则

FrankenPHP 启动后只读取 Caddyfile，它完全忽略 nginx.conf 里写的 deny 192.168.1.100; 或 allow 10.0.0.0/8;。这些配置在 FrankenPHP 进程里压根不生效——连解析都不会解析。

如果你只是把原 Nginx 配置复制进 Caddyfile，Caddy 会报错：unknown directive 'deny'，或者静默跳过（取决于写法），导致本该被拦的 IP 畅通无阻。

用 Caddy 的 matchers + respond 实现等效封禁

Caddy 支持基于客户端 IP 的条件匹配，配合 respond 可以返回 403 或重定向。这是最贴近原意、且无需改 PHP 代码的平移方式。

btpanel phpsite 宝塔面板PHP网站

宝塔面板 PHP 网站管理：站点创建、删除、启停、PHP 版本切换、域名管理、SSL证书管理、伪静态管理、数据库管理

下载

match 必须放在路由块内，不能写在全局块里；respond 要紧随其后，顺序不能错
支持 CIDR 写法（如 192.168.0.0/16）、单 IP（203.0.113.5）、IP 范围（203.0.113.10-203.0.113.20）
注意：Caddy 默认用 remote_ip，但如果你前端还套了 CDN 或反向代理（比如 Cloudflare），必须先用 header X-Forwarded-For 提取真实 IP，否则封的是 CDN 节点 IP

示例（封掉一段测试网段，同时放行内网）：

yourdomain.com {
    @blocked_ip {
        remote_ip 192.168.1.0/24
        not remote_ip 10.0.0.0/8
    }
    respond @blocked_ip "Forbidden" 403

    php_server
}

PHP 应用层做二次校验更可靠

仅靠 Caddy 封禁适合简单场景；如果封禁规则复杂（比如按 User-Agent + IP 组合、动态黑名单、封禁后记录日志），建议把核心逻辑留在 PHP 里，用 $_SERVER['REMOTE_ADDR'] 判断，并统一走中间件或前置钩子。

FrankenPHP 的 php_server 会把原始请求头和地址透传给 PHP，$_SERVER['REMOTE_ADDR'] 是真实的（除非你额外配了 reverse_proxy 且没设 trusted_proxies）
不要依赖 $_SERVER['HTTP_X_FORWARDED_FOR'] 直接判断——它可被伪造；若必须用，需配合 trusted_proxies 白名单（在 Caddyfile 里配 reverse_proxy 时指定）
Laravel 用户可用 Illuminate\Http\Middleware\TrustProxies，ThinkPHP 6 用 app/middleware/TrustProxy.php，确保 REMOTE_ADDR 解析正确