IP地址不能准确代表用户，因存在NAT、代理、IP变动等问题；$_SERVER['REMOTE_ADDR']仅反映最后一跳IP，真实IP需通过可信请求头（如X-Real-IP）结合白名单校验获取，并过滤私有地址后方可用于统计。
IP 地址本身不能直接用于准确的用户访问统计，因为一个 IP 可能对应多个真实用户（如公司出口 NAT、家庭路由器、移动基站），也可能一个用户频繁更换 IP（如 4G/5G 切换、DHCP 重拨）。把它当“唯一访客”用，数据会严重失真。
为什么 $_SERVER['REMOTE_ADDR'] 不等于“一个用户”
这是最常被误用的起点。PHP 中获取客户端 IP 最直接的方式是 $_SERVER['REMOTE_ADDR']，但它只反映请求到达 PHP 服务时的**最后一跳来源 IP**——通常是反向代理（Nginx）、CDN 或负载均衡器的地址，而不是真实用户 IP。
常见错误现象：
- 所有访问都显示为同一个 IP（比如
127.0.0.1或内网地址） - 日志里突然出现大量相同 IP 的高频请求，但实际是不同人
- 地域统计完全错乱（比如全站流量都算成北京机房）
真正可用的原始 IP 通常藏在请求头里，比如 X-Forwarded-For、X-Real-IP，但这些头可被客户端伪造，必须结合信任的代理链白名单校验。Nginx 配置中需明确设置 set_real_ip_from 并启用 real_ip_header，否则 PHP 拿到的就是不可信值。
立即学习“PHP免费学习笔记（深入）”；
统计场景决定 IP 使用方式
不是所有统计都要“去重用户”，得看目标：
- 监控服务器负载或攻击迹象 → 直接用
$_SERVER['REMOTE_ADDR']（它反映的是连接来源，对防御有意义） - 粗略看地域分布（省/市级别）→ 可用可信的
X-Forwarded-For首段（如explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0]），但需过滤掉内网段和已知 CDN 段 - 计算“独立 IP 访问量”作参考指标 → 必须清洗：剔除私有地址（
10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、127.0.0.1）、保留 IPv4、忽略 IPv6（除非你明确支持并解析） - 想接近真实用户数 → 单靠 IP 行不通，必须叠加
HTTP_USER_AGENT+ 持久化 Cookie（如session_id或自定义 tracking_id）
PHP 中安全读取真实 IP 的最小可靠写法
不要依赖单一变量，也不要无条件信任 HTTP_X_FORWARDED_FOR。下面这段逻辑假设你已配置 Nginx 将可信代理的真实 IP 写入 X-Real-IP，且只接受来自内网代理的请求：
$ip = $_SERVER['REMOTE_ADDR'];
if (isset($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP)) {
$ip = $_SERVER['HTTP_X_REAL_IP'];
}
// 再次过滤私有地址
if (filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
// 这个 $ip 才可写入统计日志或查地理库
} else {
$ip = '0.0.0.0'; // 或跳过记录
}
注意：FILTER_FLAG_NO_PRIV_RANGE 和 FILTER_FLAG_NO_RES_RANGE 在 PHP 7.1+ 支持，低版本需手动判断；HTTP_X_REAL_IP 是 Nginx proxy_set_header X-Real-IP $remote_addr; 设置的，不是默认存在。
真正难的不是拿到 IP，而是理解你统计的到底是“连接源”“网络出口”还是“尽力推测的终端”。一旦把 IP 当用户 ID 用，后面所有漏斗、留存、画像都会漂移。留个字段存 IP 可以，但别让它成为核心维度。
