获取客户端的ip地址有3中方式： 1.REMOTE_ADDR:浏览当前页面的用户计算机的ip地址 2.HTTP_X_FORWARDED_FOR: 记录代理信息，会把每一层代理都记录 3.HTTP_CLIENT_IP:客户端的ip REMOTE_ADDR 一般是不能伪造的，因为是通过服务器与客户端握手协议来获取的。而HTTP_X_FORWARDED_FOR和HTTP_CLIENT_IP是在header信息里面，所以客户端是可以进行很轻松的伪造。下面是对这三种方式详解： https://www.v2ex.com/t/230367 https://www.test404.com/post-1448.html 一、关于 REMOTE_ADDR 这个变量获取到的是《直接来源》的 IP 地址，所谓《直接来源》指的是直接请求该地址的客户端 IP 。这个 IP 在单服务器的情况下，很准确的是客户端 IP ，无法伪造。当然并不是所有的程序都一定是单服务器，比如在采用负载均衡的情况（比如采用 haproxy 或者 nginx 进行负载均衡），这个 IP 就是转发机器的 IP ，因为过程是客户端->负载均衡->服务端。是由负载均衡直接访问的服务端而不是客户端。 二、关于 HTTP_X_FORWARDED_FOR 和 HTTP_CLIENT_IP 基于《一》，在负载均衡的情况下直接使用 REMOTE_ADDR 是无法获取客户端 IP 的，这就是一个问题，必须解决。于是就衍生出了负载均衡端将客户端 IP 加入到 HEAD 中发送给服务端，让服务端可以获取到客户端的真实 IP 。当然也就产生了各位所说的伪造，毕竟 HEAD 除了协议里固定的那几个数据，其他数据都是可自定义的。 三、为何网上找到获取客户端 IP 的代码都要依次获取 HTTP_CLIENT_IP 、 HTTP_X_FORWARDED_FOR 和 REMOTE_ADDR 基于《一》和《二》以及对程序通用性的考虑，所以才这样做。 假设你在程序里直接写死了 REMOTE_ADDR ，有一天你们的程序需要做负载均衡了，那么你有得改了。当然如果你想这么做也行，看个人爱好和应用场景。也可以封装一个只有 REMOTE_ADDR 的方法，等到需要的时候改这一个方法就行了。 //// X_FORWARDED_FOR 与 X-Real-IP 的区别： X_FORWARDED_FOR记录了所有链路里的代理ip值，比如下面所说的，经过了3次代理，分别是1.1.1.1,2.2.2.2,3.3.3.3，其中1.1.1.1是客户端ip，2.2.2.2是代理服务器，接下来同理。 X-Real-IP：是只会记录前一次代理的ip地址。 一般来说，X-Forwarded-For是用于记录代理信息的，每经过一级代理(匿名代理除外)，代理服务器都会把这次请求的来源IP追加在X-Forwarded-For中 来自4.4.4.4的一个请求，header包含这样一行

X-Forwarded-For: 1.1.1.1, 2.2.2.2, 3.3.3.3

代表 请求由1.1.1.1发出，经过三层代理，第一层是2.2.2.2，第二层是3.3.3.3，而本次请求的来源IP4.4.4.4是第三层代理 而X-Real-IP，没有相关标准，上面的例子，如果配置了X-Read-IP，可能会有两种情况

// 最后一跳是正向代理，可能会保留真实客户端IP
X-Real-IP: 1.1.1.1
// 最后一跳是反向代理，比如Nginx，一般会是与之直接连接的客户端IP
X-Real-IP: 3.3.3.3

所以 ，如果只有一层代理，这两个头的值就是一样的 那一般在后端取值（比如nodejs通过nginx代理）是用哪个值呢？我看sf上看一般推荐是用X-Forwarded-For，直接用 X-Real-IP岂不是更方便点？ X-Forwarded-For确实是一般的做法 1. 他在正向(如squid)反向(如nginx)代理中都是标准用法，而正向代理中是没有x-real-ip相关的标准的，也就是说，如果用户访问你的 nginx反向代理之前，还经过了一层正向代理，你即使在nginx中配置了x-real-ip，取到的也只是正向代理的IP而不是客户端真实IP 2. 大部分nginx反向代理配置文章中都没有推荐加上x-real-ip ，而只有x-forwarded-for，因此更通用的做法自然是取x-forwarded-for 3. 多级代理很少见，只有一级代理的情况下二者是等效的 4. 如果有多级代理，x-forwarded-for效果是大于x-real-ip的，可以记录完整的代理链路 ///// 1.将以下代码保存为 Client.php //php脚本开始 $ch = curl_init(); $url = "http://localhost/ser.php"; $header = array( 'CLIENT-IP:208.165.188.175', 'X-FORWARDED-FOR:208.165.188.175, ); //声明伪造head请求头 curl_setopt($ch, CURLOPT_URL, $url); curl_setopt($ch, CURLOPT_HTTPHEADER, $header); curl_setopt($ch, CURLOPT_RETURNTRANSFER,true); $page_content = curl_exec($ch); curl_close($ch); echo $page_content;?> 2.将以下代码保存为 ser.php //php脚本开始 echo getenv('HTTP_CLIENT_IP'); echo getenv('HTTP_X_FORWARDED_FOR'); echo getenv('REMOTE_ADDR'); ?> 测试结果为

//html脚本开始 208.165.188.175 208.165.188.175 127.0.0.1 上面结果可看出,http_client_ip,http_x_forwarded_for 都被伪造了 而remote_addr 还是127.0.0.1 就是客户端ip

总结： 如果我们没用到负载均衡（CDN）的话直接用REMOTE_ADDR获取ip。 如果使用了1级CDN的话，CDN 会把 REMOTE_ADDR 转发成 X-Real-IP，我们服务器可以获取X-Real-IP来获取IP值。如果是多级CDN的话需要我们来做nginx代理，详细：https://www.cnblogs.com/princessd8251/articles/6268943.html 就是第一台负载服务器获取REMOTE_ADDR 转发成 X-Real-IP，之后的去继承前一台的 X-Real-IP就可以了，这里记住必须是去继承，不然第二台会把第一台的REMOTE_ADDR 转发成 X-Real-IP导致错误。 在discuz中的获取ip的方法： private function _get_client_ip() { $ip = $_SERVER['REMOTE_ADDR']; if (isset($_SERVER['HTTP_CLIENT_IP']) && preg_match('/^([0-9]{1,3}.){3}[0-9]{1,3}$/', $_SERVER['HTTP_CLIENT_IP'])) { $ip = $_SERVER['HTTP_CLIENT_IP']; } elseif(isset($_SERVER['HTTP_X_FORWARDED_FOR']) AND preg_match_all('#d{1,3}.d{1,3}.d{1,3}.d{1,3}#s', $_SERVER['HTTP_X_FORWARDED_FOR'], $matches)) { foreach ($matches[0] AS $xip) { if (!preg_match('#^(10|172.16|192.168).#', $xip)) { $ip = $xip; break; } } } return $ip; } 这里dz为了符合有些用户会用代理，所以才首先使用了两个容易伪造的方法，如果有需要可以自行修改。