$_SERVER['REMOTE_ADDR']几乎从不表示用户真实IP，它只是最后一层代理（如Nginx、CDN）的出口IP；真实IP需结合X-Forwarded-For、X-Real-IP等可信请求头及代理白名单校验获取。
直接用 $_SERVER['REMOTE_ADDR'] 拿到的几乎从来不是用户真实 IP——它只是最后一个代理（比如 Nginx、CDN 或负载均衡器）的出口 IP。要拿到真实客户端 IP，必须结合请求头和部署结构做判断，没有一劳永逸的函数。
为什么 $_SERVER['REMOTE_ADDR'] 不可靠
现代 PHP 应用基本都跑在反向代理之后：Nginx 做入口、Cloudflare 做 CDN、阿里云 SLB 做负载均衡……这些组件会把原始请求头里的 X-Forwarded-For 或 X-Real-IP 传给后端，但同时会用自己的 IP 覆盖 REMOTE_ADDR。所以你看到的 $_SERVER['REMOTE_ADDR'] 是 Nginx 的内网地址，不是用户手机或电脑的出口 IP。
常见错误现象：
- 所有请求的
$_SERVER['REMOTE_ADDR']都是127.0.0.1或10.x.x.x - 上线后发现日志里全是同一个 IP，但实际访问用户成千上万
- 用
$_SERVER['HTTP_X_FORWARDED_FOR']直接取值，结果被恶意伪造（比如加个X-Forwarded-For: 1.2.3.4, 192.168.1.100）
$_SERVER['HTTP_X_FORWARDED_FOR'] 怎么安全取第一个可信 IP
这个 header 是逗号分隔的 IP 列表，格式类似 客户端IP, 代理1, 代理2，但它是可被客户端任意伪造的——不能直接信任。只有当你的反向代理（如 Nginx）明确配置了「只允许内网地址设置该 header」，且你清楚知道它前面有几层可信代理，才能从中提取。
立即学习“PHP免费学习笔记（深入）”；
实操建议：
- 确认你的入口代理是否真的设置了
X-Forwarded-For，比如 Nginx 配置中是否有proxy_set_header X-Forwarded-For $remote_addr; - 只从该 header 中取「最左边第一个 IP」，即
explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0]，再trim()掉空格 - 必须配合可信代理 IP 白名单校验：如果当前请求的
$_SERVER['REMOTE_ADDR']不在你信任的代理列表里（比如127.0.0.1、10.0.0.0/8），就完全忽略X-Forwarded-For - 永远不要用
$_SERVER['HTTP_X_FORWARDED_FOR']做权限控制或封禁依据，它不防篡改
更可靠的替代方案：X-Real-IP 和 Nginx 的 set_real_ip_from
比依赖 X-Forwarded-For 更稳的方式，是让 Nginx 把真实 IP 直接注入一个不可伪造的 header（如 X-Real-IP），并用 set_real_ip_from + real_ip_header 让 Nginx 自动覆盖 $remote_addr。这时 PHP 里读 $_SERVER['REMOTE_ADDR'] 就是真的了。
Nginx 配置关键段（需重启）：
set_real_ip_from 127.0.0.1; set_real_ip_from 10.0.0.0/8; real_ip_header X-Real-IP; real_ip_recursive on;
然后在 proxy_pass 块里加上：
proxy_set_header X-Real-IP $remote_addr;
PHP 中即可安全使用：
- 优先读
$_SERVER['REMOTE_ADDR']（已被 Nginx 修正） - 备用 fallback 到
$_SERVER['HTTP_X_REAL_IP']（注意大小写） - 不再碰
X-Forwarded-For，除非业务强依赖多级代理路径
Cloudflare、阿里云、腾讯云等 CDN 场景怎么处理
这些服务商不会透传 X-Forwarded-For，而是提供自己的 header，且做了签名验证。例如：
- Cloudflare：用
$_SERVER['HTTP_CF_CONNECTING_IP']，它不可伪造，前提是你的域名已接入 CF 且未被直连绕过 - 阿里云 CDN / WAF：用
$_SERVER['HTTP_X_FORWARDED_FOR']不行，应检查是否有X-Cdn-Real-Ip或开启「传递客户端真实 IP」功能后出现的X-Forwarded-For（此时 CF 场景下需以 CF header 为准） - 腾讯云 CDN：看控制台是否开启「透传客户端真实 IP」，开启后可用
$_SERVER['HTTP_X_REAL_IP']或$_SERVER['HTTP_TRUE_CLIENT_IP']
关键点：不同 CDN 提供的 header 名不同，且只在其流量经过时存在；必须加判空，否则 PHP 会报 undefined index 警告。建议封装成函数统一处理，按优先级顺序检查各 header，再 fallback 到 REMOTE_ADDR。
最容易被忽略的是：没区分「开发环境直连」和「线上走 CDN」两种路径，导致本地测试正常，一上线就全拿错 IP。务必在代码里显式判断 $_SERVER['HTTP_CF_CONNECTING_IP'] ?? $_SERVER['HTTP_X_REAL_IP'] ?? $_SERVER['REMOTE_ADDR'] 这类链式 fallback，并记录原始 header 值用于排查。
