最可靠的是 $_SERVER['REMOTE_ADDR']，因其由SAPI层从socket获取、无法被HTTP篡改；HTTP_X_FORWARDED_FOR等头可被客户端任意伪造，仅在严格控制代理链（如Nginx/Cloudflare）并配合IP白名单验证时才可有条件信任。
直接用 $_SERVER['REMOTE_ADDR'] 最可靠，其他字段（如 HTTP_X_FORWARDED_FOR）极易被伪造，不加校验就用等于主动开后门。
为什么不能直接信任 HTTP_X_FORWARDED_FOR
这个头由客户端或中间代理添加，浏览器、爬虫、恶意请求都能随意设置。比如发个 curl：
curl -H "X-Forwarded-For: 1.2.3.4, 192.168.0.100" http://yoursite.com后端若直接取第一个值，就会把
1.2.3.4 当作真实 IP —— 完全不可信。
- 只有在你明确控制了前端代理（如 Nginx、Cloudflare），且代理配置了真实客户端 IP 到某个固定头（如
X-Real-IP），才能信任该头 - 若用了 CDN 或多层反向代理，
HTTP_X_FORWARDED_FOR可能含多个 IP，逗号分隔，最右才是“上一跳”，最左才可能是原始 IP —— 但依然可伪造 - PHP 默认不会过滤或验证这些头，
$_SERVER数组照单全收
安全获取的推荐做法：只信 REMOTE_ADDR，其余头需白名单+可信链验证
核心原则：除非你知道每个代理节点是谁、怎么配置的，否则不采信任何 HTTP_* 头。
- 直连场景（无 Nginx/CDN）：直接用
$_SERVER['REMOTE_ADDR']，它由 PHP SAPI 层从 socket 获取，无法被 HTTP 请求篡改 - 有可信反向代理（如内网 Nginx）：让 Nginx 固定设置一个自定义头，例如
set $real_ip $remote_addr;+proxy_set_header X-Real-IP $real_ip;，然后 PHP 中只读$_SERVER['HTTP_X_REAL_IP']，并验证该请求确实来自内网 IP（如$_SERVER['REMOTE_ADDR']是否在10.0.0.0/8内） - 用 Cloudflare：启用 “IP Geolocation” 并在 Nginx 中配置
set_real_ip_from和real_ip_header CF-Connecting-IP，PHP 中再取$_SERVER['HTTP_CF_CONNECTING_IP']才安全
常见错误写法及后果
下面这些代码看似方便，实则埋雷：
立即学习“PHP免费学习笔记（深入）”；
$ip = $_SERVER['HTTP_X_FORWARDED_FOR'] ?? $_SERVER['REMOTE_ADDR'];
—— 一旦攻击者带了 X-Forwarded-For 头，就绕过 REMOTE_ADDR 直接用伪造 IP。
-
filter_var($ip, FILTER_VALIDATE_IP)不够：它只校验格式，不防伪造 - 没检查
$_SERVER['REMOTE_ADDR']来源：如果代理没做 IP 白名单，攻击者可直连你的 PHP-FPM，让REMOTE_ADDR变成任意 IP - 用
getenv('HTTP_X_FORWARDED_FOR')：和$_SERVER一样不可信，且在某些 SAPI（如 CLI）下行为不一致
真正安全的起点，是清楚知道流量路径上每一跳是否可控；否则，REMOTE_ADDR 就是你唯一该无条件依赖的字段。
