Nginx需配置set_real_ip_from声明CDN可信IP段、real_ip_header指定真实IP头（如X-Real-IP）、real_ip_recursive开启递归解析，并在log_format中使用$realip_remote_addr记录真实客户端IP。
要让 Nginx 正确识别 CDN 回源请求中的客户端真实 IP，并在日志中准确记录，关键在于：信任 CDN 的转发头（如 X-Forwarded-For 或厂商专用头），并用 set_real_ip_from 显式声明 CDN 节点的可信 IP 段，再启用 real_ip_header 解析真实 IP。
确认 CDN 厂商提供的真实 IP 头和回源 IP 段
不同 CDN 厂商使用的标识头和可信 IP 范围不同，必须查阅其官方文档。常见情况如下：
- 腾讯云 CDN：使用
X-Real-IP或True-Client-IP，回源 IP 段需在控制台“访问控制 > 回源配置”中查看，或参考腾讯云 CDN 官方 IP 段列表 - 阿里云 CDN：默认用
X-Forwarded-For最左非私有地址，也可开启“传递客户端真实 IP”后使用X-Real-IP；可信 IP 段见阿里云 CDN 回源 IP 文档 - Cloudflare：使用
Cf-Connecting-IP，且必须将 Cloudflare 的 IPv4/IPv6 全部加入set_real_ip_from（官方列表见 https://www.php.cn/link/2043d2a8fa2208b4c5f19bc6d5a94320）
在 Nginx 配置中启用 real_ip 模块解析
Nginx 默认编译包含 ngx_http_realip_module，无需额外安装。在 http 或 server 块中添加以下指令（以腾讯云为例）：
set_real_ip_from 119.29.29.29; # 腾讯 DNSPod 公共 DNS，仅作示例 set_real_ip_from 101.32.0.0/16; # 示例：实际应填腾讯云 CDN 回源段，如 101.32.0.0/16、111.161.64.0/19 等 set_real_ip_from 111.161.64.0/19; real_ip_header X-Real-IP; # 指定从哪个 header 取真实 IP real_ip_recursive on; # 启用递归查找（当 X-Forwarded-For 多层代理时有用）
⚠️ 注意：set_real_ip_from 必须写在 real_ip_header 之前；IP 段宁可多加，不可漏掉，否则会导致该段请求的 IP 被识别为 CDN 节点自身 IP。
定义日志格式并记录真实客户端 IP
修改 log_format，用 $remote_addr 替换为 $realip_remote_addr（Nginx ≥ 1.11.0）或保持使用 $remote_addr（启用 real_ip 后它已自动变为真实 IP）：
log_format main '$realip_remote_addr - $remote_user [$time_local] '
'"$request" $status $body_bytes_sent '
'"$http_referer" "$http_user_agent" '
'$request_time $upstream_response_time';
access_log /var/log/nginx/access.log main;
如果你使用的是较老版本 Nginx（$remote_addr 在启用 real_ip 后即代表真实 IP，无需改用 $realip_remote_addr；1.11.0+ 才支持该变量，更明确区分原始地址与覆盖后地址。
验证配置是否生效
完成配置后执行以下步骤验证：
- 运行
nginx -t检查语法 - 重载配置：
nginx -s reload - 通过 CDN 访问站点，同时抓包或在 CDN 控制台查看本次请求的回源详情，确认请求头含
X-Real-IP或对应头 - 检查 Nginx 日志，确认首字段是用户真实公网 IP，而非 CDN 节点 IP（如 111.161.xx.xx）
- 可临时加一行
add_header X-Debug-Real-IP $remote_addr;到 server 块，用 curl 查看响应头验证
不复杂但容易忽略。只要头对、段全、顺序对、日志用对变量，真实 IP 就能稳稳落到日志里。
