云环境中$_SERVER['REMOTE_ADDR']不可靠，因其返回的是代理内网IP；真实IP需从X-Real-IP或X-Forwarded-For中提取，且必须校验代理IP是否在可信范围内，防止伪造。
云服务器上用 PHP 的 $_SERVER['REMOTE_ADDR'] 拿到的 IP 经常是内网地址（比如 10.0.0.3 或 172.18.0.5），而不是用户真实公网 IP——这不是代码写错了，而是云环境普遍存在的代理链导致的。
为什么 $_SERVER['REMOTE_ADDR'] 在云环境不可靠
云服务（如阿里云 SLB、腾讯云 CLB、Nginx 反向代理、K8s Ingress）默认会把请求转发给后端 PHP 服务，此时 REMOTE_ADDR 只能拿到上一跳（通常是负载均衡器或网关）的内网 IP。真实客户端 IP 被压在 HTTP 头里，比如 X-Forwarded-For 或 X-Real-IP。
常见错误现象：
- 登录日志里全是
10.x.x.x，无法做地域统计或风控 -
ip2long($_SERVER['REMOTE_ADDR'])返回值异常，甚至为 false - 基于 IP 的限流、白名单完全失效
如何安全获取真实客户端 IP（PHP 实操）
不能无条件信任任意 HTTP 头，必须结合代理可信范围判断。以下逻辑适用于 Nginx + PHP-FPM 或云 LB 场景：
立即学习“PHP免费学习笔记（深入）”；
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
- 确认你的入口代理是否设置了
X-Real-IP（推荐）或X-Forwarded-For - 只从已知可信代理（如你自己的 Nginx 或云厂商 LB 内网段）传来的头中取值
- 避免被客户端伪造头欺骗，例如直接用
$_SERVER['HTTP_X_FORWARDED_FOR']是危险的
示例代码（需根据实际代理配置调整）：
// 假设你的云 LB 内网段是 10.0.0.0/8 和 172.16.0.0/12
$trustedProxies = ['10.0.0.0/8', '172.16.0.0/12'];
$clientIp = $_SERVER['REMOTE_ADDR'];
<p>if (isset($_SERVER['HTTP_X_REAL_IP']) && ip_in_range($_SERVER['REMOTE_ADDR'], $trustedProxies)) {
$clientIp = $_SERVER['HTTP_X_REAL_IP'];
} elseif (isset($_SERVER['HTTP_X_FORWARDED_FOR']) && ip_in_range($_SERVER['REMOTE_ADDR'], $trustedProxies)) {
// X-Forwarded-For 可能是逗号分隔列表，取第一个非私有地址
$ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
foreach ($ips as $ip) {
if (!is_private_ip($ip)) {
$clientIp = $ip;
break;
}
}
}</p><p>function ip_in_range($ip, $ranges) {
foreach ($ranges as $range) {
if (strpos($range, '/') !== false) {
list($subnet, $bits) = explode('/', $range);
if ((ip2long($ip) & bindec(str_repeat('1', $bits) . str_repeat('0', 32 - $bits))) == ip2long($subnet)) {
return true;
}
} else {
if ($ip === $range) return true;
}
}
return false;
}</p><p>function is_private_ip($ip) {
$ip = ip2long($ip);
$private = [
[ip2long('10.0.0.0'), ip2long('10.255.255.255')],
[ip2long('172.16.0.0'), ip2long('172.31.255.255')],
[ip2long('192.168.0.0'), ip2long('192.168.255.255')],
[ip2long('127.0.0.0'), ip2long('127.255.255.255')],
[ip2long('0.0.0.0'), ip2long('0.255.255.255')],
[ip2long('100.64.0.0'), ip2long('100.127.255.255')], // CGNAT
];
foreach ($private as $range) {
if ($ip >= $range[0] && $ip <= $range[1]) return true;
}
return false;
}云厂商 LB 特别注意事项
不同平台默认传递的头不一致，且可能开启/关闭“透传客户端 IP”功能：
- 阿里云 SLB：需在监听规则中开启「获取客户端真实 IP」，启用后会自动加
X-Forwarded-For - 腾讯云 CLB：同样要开启「获取真实 IP」，并注意它默认用
X-Real-IP（不是X-Forwarded-For） - Nginx 反向代理：必须手动配置
proxy_set_header X-Real-IP $remote_addr;，否则后端收不到 - K8s Ingress（如 Nginx Ingress Controller）：默认不透传，需设置
use-forwarded-headers: "true"并确保compute-full-forwarded-for: "true"
如果不确定头是否存在，先打印 print_r($_SERVER) 查看有没有 HTTP_X_REAL_IP 或 HTTP_X_FORWARDED_FOR 字段。
调试时最容易忽略的一点
很多开发者改完 PHP 逻辑就以为搞定了，但忘了检查 Nginx 或云控制台的代理配置是否真正生效——curl -I http://your-domain.com 看响应头里有没有 X-Real-IP，或者在 PHP 中临时加一行 error_log(print_r($_SERVER, true), 3, '/tmp/ip-debug.log');，确认原始头数据到底有没有进来。没进来的头，PHP 再怎么解析也没用。
