PHP在Windows服务器上获取真实IP常出错，因IIS/Apache反向代理配置差异导致REMOTE_ADDR被覆盖、X_FORWARDED_FOR易伪造且格式混乱，须按X_REAL_IP→X_FORWARDED_FOR（清洗后取首个非私有IP）→REMOTE_ADDR优先级逐层判断，并针对IIS ARR手动配置服务器变量映射。
PHP在Windows服务器上获取真实IP为什么经常出错
因为Windows系统下IIS或Apache的反向代理配置与Linux差异大，$_SERVER['REMOTE_ADDR']常被代理覆盖，而$_SERVER['HTTP_X_FORWARDED_FOR']又容易被伪造或格式混乱（如含多个IP、空格、IPv6混用），直接取首段会误判。
判断真实IP必须按优先级逐层检查
不能只依赖某一个变量，要结合请求头来源可信度和部署环境。常见顺序是：HTTP_X_REAL_IP（Nginx proxy_set_header 设置）→ HTTP_X_FORWARDED_FOR（需清洗）→ REMOTE_ADDR（最终兜底）。
-
HTTP_X_REAL_IP最可靠，但仅当Web服务器明确设置了该头（如Nginx中proxy_set_header X-Real-IP $remote_addr;） -
HTTP_X_FORWARDED_FOR可能为"192.168.1.100, 203.0.113.5"，需explode(', ', ...)后取第一个非私有IP，且过滤掉127.0.0.1、::1、内网段 -
REMOTE_ADDR在无代理时准确，在IIS直连或Apache mod_php模式下可直接用；但若启用了ARR（Application Request Routing）等代理模块，它就变成上一跳地址
Windows IIS + PHP环境下特别注意ARR和URL重写
IIS启用ARR后，默认不传递原始客户端IP，必须手动配置“服务器变量”映射，否则HTTP_X_FORWARDED_FOR为空，REMOTE_ADDR固定为ARR服务器内网地址。
- 在IIS管理器 → “URL重写” → 入站规则 → 编辑规则 → “服务器变量”里添加
HTTP_X_FORWARDED_FOR并勾选“允许重写” - ARR服务器池的“代理”设置中，确认已启用“启用代理”且“HTTP主机头”设为原始值，否则
Host头丢失，部分IP检测逻辑会失效 - 若用FastCGI方式运行PHP，确保
php.ini中未禁用variables_order = "EGPCS"，否则$_SERVER可能缺失自定义头
简单可用的Windows兼容IP获取函数
以下代码已在Windows Server 2016/2019 + IIS 10 + PHP 7.4/8.1实测通过，能处理ARR、Nginx反代、直连三种场景：
立即学习“PHP免费学习笔记（深入）”；
function get_client_ip() {
$ip = $_SERVER['REMOTE_ADDR'] ?? '127.0.0.1';
if (!empty($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP)) {
$ip = $_SERVER['HTTP_X_REAL_IP'];
} elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
foreach ($ips as $candidate) {
if (filter_var($candidate, FILTER_VALIDATE_IP) && !in_array($candidate, ['127.0.0.1', '::1', '0.0.0.0'])) {
if (!filter_var($candidate, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
$ip = $candidate;
break;
}
}
}
}
return $ip;
}
注意：这个函数不校验IP是否来自可信代理段（如你无法控制前端负载均衡器），生产环境若需高安全级别，应配合$_SERVER['HTTP_X_FORWARDED_FOR']白名单校验，而非仅靠格式过滤。
