$_SERVER['REMOTE_ADDR']不准是因为它仅返回直接连接的上一跳IP（如Nginx或CDN内网IP），而非真实客户端IP；需结合可信代理校验后，优先取HTTP_X_REAL_IP或HTTP_CF_CONNECTING_IP等安全头。
PHP获取客户端IP时$_SERVER['REMOTE_ADDR']为什么不准
因为绝大多数用户经过Nginx、CDN、反向代理后，$_SERVER['REMOTE_ADDR']拿到的只是上一跳服务器的IP（比如Nginx本机IP），不是真实访客IP。
真实链路通常是：用户 → CDN → Nginx → PHP，中间每层都可能覆盖或新增HTTP头。
常见错误现象：$_SERVER['REMOTE_ADDR']固定返回127.0.0.1或192.168.x.x，尤其在Docker、LNMP套件或云WAF后面。
- 必须依赖
X-Forwarded-For、X-Real-IP等请求头，但这些头可被客户端伪造，不能直接信任 - Nginx需显式配置
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; - CDN（如Cloudflare、阿里云全站加速）会设置
Cf-Connecting-IP或X-Forwarded-For，但格式不统一，有的带端口，有的含多个IP用逗号分隔
PHP中安全提取真实IP的判断逻辑怎么写
不能无脑取$_SERVER['HTTP_X_FORWARDED_FOR']第一个IP——攻击者发X-Forwarded-For: 1.1.1.1, 2.2.2.2, 3.3.3.3就能绕过限制。
立即学习“PHP免费学习笔记（深入）”；
核心原则：只信任你可控的代理层传来的IP，其余一律忽略；且必须校验IP格式合法性。
- 先确认请求是否来自可信代理（比如你的Nginx内网IP是
10.0.0.5，就只接受$_SERVER['REMOTE_ADDR'] === '10.0.0.5'时才读X-Real-IP） - 优先用
$_SERVER['HTTP_X_REAL_IP']（Nginx默认设为真实客户端IP，不易被伪造） - 再退而求其次用
$_SERVER['HTTP_X_FORWARDED_FOR']，取最左端第一个合法IPv4/IPv6，但前提是$_SERVER['REMOTE_ADDR']在可信代理列表里 - 始终用
filter_var($ip, FILTER_VALIDATE_IP)校验，拒绝127.0.0.1、0.0.0.0、私有地址段等无效值
简短示例：
$trustedProxies = ['10.0.0.5', '127.0.0.1'];
$remoteAddr = $_SERVER['REMOTE_ADDR'] ?? '';
$ip = null;
if (in_array($remoteAddr, $trustedProxies)) {
if (!empty($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP)) {
$ip = $_SERVER['HTTP_X_REAL_IP'];
} elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
foreach ($ips as $candidate) {
if (filter_var($candidate, FILTER_VALIDATE_IP) && !filter_var($candidate, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)) {
$ip = $candidate;
break;
}
}
}
}
$ip = $ip ?: ($remoteAddr && filter_var($remoteAddr, FILTER_VALIDATE_IP) ? $remoteAddr : '0.0.0.0');
Cloudflare、腾讯云CDN等场景下要注意什么
它们会把真实IP放在特定头里，但默认不透传X-Real-IP，也不能直接信X-Forwarded-For——CDN自己可能拼接了多层IP。
例如Cloudflare强制使用$_SERVER['HTTP_CF_CONNECTING_IP']，该字段由CF签名保证不可篡改；腾讯云WAF用X-Waf-Real-IP或True-Client-IP（需控制台开启透传）。
- 务必查阅你所用CDN的文档，确认其真实IP头名称，不要凭经验硬写
X-Forwarded-For - Cloudflare环境下，
HTTP_CF_CONNECTING_IP优先级应高于所有其他头，且无需校验代理IP来源（CF已做可信保障） - 如果用了多层代理（比如CF → 自建Nginx → PHP），要确保Nginx未覆盖或清空CDN传来的头，检查
underscores_in_headers on;（避免CF-Connecting-IP被Nginx丢弃） - 某些CDN（如百度云加速）会把IP写进
X-Forwarded-For最右边，而不是最左边，得反向取
$_SERVER超全局变量里的IP相关键名有哪些区别
不同Web服务器、不同代理配置下，可用的$_SERVER键差异很大，不是所有环境都有HTTP_X_REAL_IP或HTTP_X_FORWARDED_FOR。
关键区别在于来源和可信度：
-
$_SERVER['REMOTE_ADDR']：TCP连接发起方IP，最“真实”但通常只是最后一跳代理IP -
$_SERVER['HTTP_X_REAL_IP']：一般由Nginx设置，内容等于$remote_addr，仅当Nginx配置了proxy_set_header才存在 -
$_SERVER['HTTP_X_FORWARDED_FOR']：标准代理链IP列表，格式为a.b.c.d, e.f.g.h，最左是原始客户端，但可伪造 -
$_SERVER['HTTP_CF_CONNECTING_IP']：Cloudflare专用，经CF签名，唯一可无条件信任的头 -
$_SERVER['HTTP_TRUE_CLIENT_IP']：部分CDN（如Akamai）使用，需确认是否启用透传
没有万能取法。必须结合部署拓扑决定信任链起点，再逐级降级 fallback。
真实环境里，IP识别失效往往不是代码写错，而是Nginx没配对头、CDN没开透传、或者开发环境直连没走代理却套用了代理逻辑——这些地方比PHP代码本身更难排查。
