用REMOTE_ADDR获取的IP有可能是被伪造的吗？解决思路-php教程-PHP中文网

首页

后端开发

php教程

用REMOTE_ADDR获取的IP有可能是被伪造的吗？解决思路

WBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWBOYWB

Jun 13, 2016 pm 12:12 PM

nbspremotesession

用REMOTE_ADDR获取的IP有可能是被伪造的吗？
在做一个投票网页应用，相同ip一定时间不能连续投，获取IP用的是REMOTE_ADDR

请教：有可能会被恶意刷票者任意伪造不同的IP吗？我的意思是任意伪造，不考虑使用代理，反复拨号等“正常”情况。

对IP、tcp协议一类的东西基本不懂，但听说理论上可以伪造，只是无法获取返回的信息，但如果是刷票，似乎只要能post请求成功就行了，有没信息和网页返回并不重要，不知我的理解对不对？如果这样是不是意味着可以伪造ip刷票？
------解决思路----------------------
REMOTE_ADDR 表示的是直接连通到你的服务器的设备的 IP 地址
互联网中的所有路由器都做了透明设置，所以 REMOTE_ADDR 实际是你接入互联网的设备的 IP 地址
而接入互联网的路由器大多都不具备透明设置功能

你也知道伪造 REMOTE_ADDR 将无法获取返回的信息

那么你只要在判断 REMOTE_ADDR 的同时判断一下 session（sessionid 必须经过与用户的交互才能生效）或表单页需经过重定向（js 的 location 指定，php 的 header 函数）才能到达计票页，就可以避免恶意伪造了
------解决思路----------------------
生成投票页时开启 session
session_start();
然后你创建一个 session 变量
$_SESSION['name'] = 'value';
名字和值由你自己决定

接收提交的页检查这个名字和值是否正确后，再进行计票

声明

本文内容由网友自发贡献，版权归原作者所有，本站不承担相应法律责任。如您发现有涉嫌抄袭侵权的内容，请联系admin@php.cn

您如何防止与会议有关的跨站点脚本（XSS）攻击？Apr 23, 2025 am 12:16 AM

要保护应用免受与会话相关的XSS攻击，需采取以下措施：1.设置HttpOnly和Secure标志保护会话cookie。2.对所有用户输入进行输出编码。3.实施内容安全策略(CSP)限制脚本来源。通过这些策略，可以有效防护会话相关的XSS攻击，确保用户数据安全。

您如何优化PHP会话性能？Apr 23, 2025 am 12:13 AM

优化PHP会话性能的方法包括：1.延迟会话启动，2.使用数据库存储会话，3.压缩会话数据，4.管理会话生命周期，5.实现会话共享。这些策略能显着提升应用在高并发环境下的效率。

什么是session.gc_maxlifetime配置设置？Apr 23, 2025 am 12:10 AM

thesession.gc_maxlifetimesettinginphpdeterminesthelifespanofsessiondata，setInSeconds.1）它'sconfiguredinphp.iniorviaini_set（）.2）abalanceIsiseededeedeedeedeedeedeedto to to avoidperformance andununununununexpectedLogOgouts.3）

您如何在PHP中配置会话名？Apr 23, 2025 am 12:08 AM

在PHP中，可以使用session_name()函数配置会话名称。具体步骤如下：1.使用session_name()函数设置会话名称，例如session_name("my_session")。2.在设置会话名称后，调用session_start()启动会话。配置会话名称可以避免多应用间的会话数据冲突，并增强安全性，但需注意会话名称的唯一性、安全性、长度和设置时机。

您应该多久再生一次会话ID？Apr 23, 2025 am 12:03 AM

会话ID应在登录时、敏感操作前和每30分钟定期重新生成。1.登录时重新生成会话ID可防会话固定攻击。2.敏感操作前重新生成提高安全性。3.定期重新生成降低长期利用风险，但需权衡用户体验。

如何在PHP中设置会话cookie参数？Apr 22, 2025 pm 05:33 PM

在PHP中设置会话cookie参数可以通过session_set_cookie_params()函数实现。1)使用该函数设置参数，如过期时间、路径、域名、安全标志等；2)调用session_start()使参数生效；3)根据需求动态调整参数，如用户登录状态；4)注意设置secure和httponly标志以提升安全性。