Nginx默认记录CDN节点IP而非真实IP，因$remote_addr仅取TCP连接方地址；需配置set_real_ip_from、real_ip_header，并在日志中使用$http_x_forwarded_for才能获取真实IP。
CDN 开启后，Nginx 默认记录的是 CDN 节点 IP，不是访客真实 IP；必须显式配置 real_ip_header 和 set_real_ip_from，再配合日志格式改用 $http_x_forwarded_for，才能在日志里看到真实 IP。
为什么默认日志里全是 CDN 节点 IP
Nginx 的 $remote_addr 只取 TCP 连接发起方的地址 —— 开启 CDN 后，所有请求都来自 CDN 服务器，所以它永远是 CDN 节点的 IP。而真实访客 IP 是通过 HTTP Header（如 X-Forwarded-For）透传进来的，Nginx 不会自动把它当作客户端地址，除非你告诉它“这个 Header 可信”。
常见错误现象：
– 日志中 access.log 每行开头都是类似 124.123.110.88 的固定几个 IP（CDN 节点）
– PHP 中 $_SERVER['REMOTE_ADDR'] 也是这些节点 IP，而非用户真实出口 IP
- 宝塔面板里直接改 Nginx 配置时，只加
log_format不加real_ip_*，日志里$http_x_forwarded_for可能为空或不可信 - 有些 CDN（如腾讯云、阿里云）默认透传
X-Forwarded-For，但 Cloudflare 默认用Cf-Connecting-IP，需对应调整real_ip_header - 若 CDN 还套了 WAF 或多层代理，
X-Forwarded-For可能含多个 IP（如203.208.60.1, 119.123.45.67），Nginx 默认只取第一个，一般够用
在宝塔面板中添加 real_ip 配置
进入「软件商店」→ 找到已安装的 Nginx → 点击「设置」→「配置修改」，在 http { 大括号**正下方**插入：
set_real_ip_from 0.0.0.0/0; real_ip_header X-Forwarded-For;
说明：
– set_real_ip_from 0.0.0.0/0 表示信任所有来源的 X-Forwarded-For，适合测试或已确认只走 CDN 的环境；生产环境应替换为实际 CDN IP 段（如腾讯云 CDN 段可查官方文档，填具体 CIDR）
– 若用 Cloudflare，把 X-Forwarded-For 改成 Cf-Connecting-IP
– 修改后必须点击「重载配置」，不是「保存」就完事
不生效的典型原因：
– 写在 server{} 块里（必须写在 http{} 全局块）
– 拼错单词，比如 real_ip_heder（少个 r）
– 重载失败但没看提示，实际配置未加载
修改日志格式并应用到站点
仍在同一「配置修改」页面，在 http{ 区域内（可放在 set_real_ip_from 下方）添加：
log_format cdn_access '$http_x_forwarded_for - $remote_user [$time_local] "$request" '
'$status $body_bytes_sent "$http_referer" '
'"$http_user_agent"';然后进入「网站」→ 找到你的站点 → 「设置」→ 「网站目录」→ 找到「访问日志」右侧的「日志格式」下拉框，选中刚定义的 cdn_access；或手动编辑该站点的 conf 文件，在 location / { 上方加一行：
access_log /www/wwwlogs/your-site.com.log cdn_access;
注意：
– cdn_access 名字要和 log_format 后面一致，大小写敏感
– 站点 conf 中的 access_log 行不能漏掉格式名，否则回退到默认 main 格式
– $http_x_forwarded_for 是字符串，如果 Header 不存在，这里会显示破折号 -，属于正常现象
验证是否生效
改完配置并重载后，不要立刻刷页面看日志——先等几秒，再执行：
tail -f /www/wwwlogs/your-site.com.log
用手机或另一台电脑访问你的网站（避开自己本机缓存），观察新日志行最开头是否出现非 CDN 段的公网 IP（比如 117.136.22.45）。如果还是 CDN 节点 IP，重点检查：
– 是否在浏览器开发者工具 Network 标签里确认请求带了 X-Forwarded-For（值不为空）
– 宝塔是否真的重载成功（看右上角提示，或 nginx -t 手动校验）
– CDN 控制台是否开启「传递客户端真实 IP」开关（腾讯云 CDN 叫「回源请求头」，阿里云叫「自定义回源 Host」相关设置里要勾选）
真实 IP 获取这件事，核心不在“怎么写”，而在“谁信谁”：Nginx 信了 Header，CDN 传了 Header，日志格式用了 Header，三者缺一不可。最容易被忽略的是 CDN 侧的透传开关，它关着，Nginx 再怎么配也没用。
