Nginx日志中出现带端口的“IP”是因为误用未校验的$http_x_forwarded_for等HTTP头变量；应改用$remote_addr或经realip_module验证的$realip_remote_addr，并配置set_real_ip_from和real_ip_header。
这通常不是 Nginx 自身记录了“带端口号的 IP”，而是日志格式中误将 $http_x_forwarded_for、$http_x_real_ip 或其他 HTTP 头字段（可能被恶意构造）直接写入日志，而这些头里混入了形如 1.2.3.4:12345 的非法值。Nginx 的 $remote_addr 永远只含 IP（无端口），所以问题一定出在自定义日志变量或代理头处理环节。
检查 log_format 中是否误用了不安全的 HTTP 头变量
Nginx 日志中出现带端口的“IP”，大概率是日志格式里用了 $http_x_forwarded_for 等未校验的请求头。攻击者可随意伪造该头，例如发送：
Host: example.com
X-Forwarded-For: 192.168.1.100:8080, 203.0.113.5
若日志格式为 log_format main '$http_x_forwarded_for - $remote_user ...'，就会原样记下 192.168.1.100:8080。
- 打开
nginx.conf或站点配置，搜索log_format，确认是否直接引用了$http_*类变量作为客户端地址字段 - 正确做法是：仅用
$remote_addr（真实 TCP 连接源）或经可信代理链严格验证后的$realip_remote_addr（需配合ngx_http_realip_module） - 若必须记录原始 XFF，应单独设一个字段（如
$http_x_forwarded_for），但绝不把它当“客户端 IP”用于限流、访问控制或统计
确认 real_ip 模块是否启用且配置可信代理段
如果你使用了 CDN、WAF 或反向代理（如 SLB、Traefik），Nginx 需通过 set_real_ip_from 和 real_ip_header 正确提取真实客户端 IP，并丢弃不可信头中的端口干扰。
- 确保已加载
ngx_http_realip_module（默认编译开启） - 在
http或server块中配置类似：
set_real_ip_from 172.16.0.0/12;
set_real_ip_from 192.168.0.0/16;
set_real_ip_from 203.0.113.10; # CDN 回源 IP
real_ip_header X-Forwarded-For;
real_ip_recursive on;
这样 Nginx 才会从 XFF 最右端（非代理部分）取合法 IPv4/IPv6 地址，自动忽略冒号及后续内容。若没配 set_real_ip_from，$realip_remote_addr 就不会生效，日志仍可能暴露伪造头。
临时排查：用 awk/grep 快速定位异常条目
在访问日志中快速发现带端口的记录，便于分析来源和频率：
- 查所有含冒号的“IP样字符串”（排除正常 IPv6）：
awk '$1 ~ /:/ && $1 !~ /^([0-9a-fA-F]{1,4}:){7}[0-9a-fA-F]{1,4}$/' /var/log/nginx/access.log | head -20 - 统计异常头来源（看是否集中于某 User-Agent 或 Referer）：
awk '$1 ~ /:/ {print $12}' /var/log/nginx/access.log | sort | uniq -c | sort -nr | head（假设 $12 是 $http_x_forwarded_for） - 结合时间范围过滤：
sed -n '/2024:05:15:14:[0-5][0-9]:[0-5][0-9]/p' /var/log/nginx/access.log | grep ':'
加固建议：日志与逻辑层双重过滤
不能只靠日志格式修复，应用层也要防御：
- 在
log_format中对可疑字段做基础清洗（Nginx 1.11.6+ 支持 map + regex）：map $http_x_forwarded_for $clean_xff {<br> ~^([0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3}\.[0-9]{1,3})($|:) $1;<br> default "-";<br>}
然后在 log_format 中用$clean_xff - 在 server 块中拒绝明显畸形的 XFF：
if ($http_x_forwarded_for ~ ":[0-9]{1,5}$") { return 400; }（慎用 if，生产建议改用 map + error_page） - 后端应用（如 PHP/Node.js）绝不能信任任何 HTTP 头里的 IP，必须以 Nginx 传入的
X-Real-IP或X-Forwarded-For经服务端二次校验后的结果为准
