后端拿不到真实客户端IP的根本原因是Nginx未正确透传和解析IP，需依次检查：Nginx是否在location中配置proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for；后端是否取XFF最左非私有IP；是否启用real_ip模块并正确配置set_real_ip_from与real_ip_header；最后用日志和抓包验证各环节。
后端拿不到真实客户端 IP，不是后端代码写错了，而是 Nginx 没把 IP 正确传过去。排查要从请求链路一层层验证：Nginx 是否加了头、加得对不对、后端是否读对了位置、有没有被中间节点覆盖或伪造。关键不在“有没有传”，而在“传得准不准、信得安不安全”。
检查 Nginx 是否透传了关键请求头
Nginx 默认不传递任何客户端信息。必须显式配置 proxy_set_header，且必须放在 location 块中、proxy_pass 之前：
-
proxy_set_header X-Real-IP $remote_addr;—— 单层代理可用，但不适用于 CDN 或多级代理场景 -
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 必须用这个变量，它会自动拼接已有 XFF 值和当前 $remote_addr，避免覆盖原始客户端 IP -
proxy_set_header Host $host;—— 防止后端因 Host 错误导致跳转失败或域名解析异常
常见错误：头配置写在 http 或 server 级但没命中实际转发的 location；或者漏掉 $ 符号写成字面量（如写成 X-Real-IP remote_addr）。
确认后端读取逻辑是否取对了位置
X-Forwarded-For 的格式是 client_ip, proxy1_ip, proxy2_ip，最左边才是用户真实 IP。很多后端直接取最后一个（.split(',')[-1]），结果拿到的是 Nginx 自己的 IP。
- 正确做法是取第一个非空、非 unknown、非私有地址的 IP：
.split(',')[0].strip() - 但仅靠取头不安全——X-Forwarded-For 可被客户端伪造。真正可靠的方式是让 Nginx 主动“信任并替换”远程地址，使
$remote_addr变成真实 IP
验证 Nginx 是否已启用 real_ip 模块并正确信任代理
光靠后端解析请求头无法防御伪造。需在 Nginx 的 http 或 server 块中启用真实 IP 解析：
-
set_real_ip_from 127.0.0.1;或具体可信代理网段（如192.168.10.0/24、172.18.0.0/16for Docker bridge）——绝不能写0.0.0.0/0 -
real_ip_header X-Forwarded-For;—— 指定从哪个头提取 IP -
real_ip_recursive on;—— 开启递归解析，Nginx 会从右往左剔除所有已知可信代理 IP，剩下最左边不可信的那个即为真实客户端 IP
配完后，$remote_addr 就是真实 IP，日志、限流、白名单都能直接用它，无需再手动解析头。
用日志和抓包交叉验证每一步
在 Nginx 配置中添加自定义日志格式，同时记录原始连接 IP 和转发头内容：
log_format debug_log '$remote_addr ← $http_x_forwarded_for "$request" $status';
access_log /var/log/nginx/debug.log debug_log;
再配合 curl 或浏览器开发者工具查看请求头，或用 tcpdump 抓包比对：
- 如果
$remote_addr已是公网 IP，说明 real_ip 配置生效 - 如果
$http_x_forwarded_for是空或只有内网 IP，说明上一级代理（如 CDN、SLB）没传头，或 Nginx 没加proxy_set_header - 如果日志里
$remote_addr是 127.0.0.1 或容器 IP，而$http_x_forwarded_for有多个 IP 且最左是公网地址，说明 real_ip 配置缺失或set_real_ip_from范围不对
