PHP实现IP黑名单不能仅依赖in_array()硬匹配，因CDN/代理会导致$_SERVER['REMOTE_ADDR']失真；须结合Nginx real_ip模块与可信HTTP头（如X-Forwarded-For）获取真实IP，并用CIDR或安全正则校验，避免回溯攻击与IPv6兼容问题。
直接上结论：PHP 实现 IP 黑名单，不能只靠 in_array() 硬匹配，否则遇到 OpenAI、Cloudflare、CDN 或代理转发的请求，$_SERVER['REMOTE_ADDR'] 会是中间节点 IP，真实客户端被漏掉；更关键的是，纯 PHP 层拦截在高并发下容易成性能瓶颈，必须和 Nginx 协同。
为什么 $_SERVER['REMOTE_ADDR'] 经常不准
这是最常踩的坑。你写的黑名单脚本在本地测试正常，一上线就失效——大概率是因为流量经过了 CDN、反向代理或 WAF。
常见错误现象：
- 所有请求的
$_SERVER['REMOTE_ADDR']都是同一个（比如10.0.0.1或127.0.0.1） - OpenAI 的爬虫显示 IP 是 Cloudflare 或 AWS ALB 的出口地址，不是真实 UA 来源
正确做法是优先读取可信的代理头（但必须验证来源合法性，否则可被伪造）：
立即学习“PHP免费学习笔记（深入）”；
- 确认你的 Nginx / Apache 已设置
real_ip_header X-Forwarded-For;和set_real_ip_from白名单网段 - PHP 中用类似
get_client_ip(true)的高级模式（见知识库中带$adv=true的实现） - 永远不要无条件信任
HTTP_X_FORWARDED_FOR—— 它可能被客户端随意填写
is_safe_ip() 函数支持通配符但正则有风险
知识库里的 is_safe_ip() 支持 192.168.*.* 这类写法，底层靠 str_replace() + preg_match() 实现，看起来方便，但要注意：
- 通配符转义后生成的正则表达式若没加锚定（
^和$），可能误匹配（比如192.168.1匹配到192.168.100.1） - 大量黑名单规则拼成一个大正则，执行慢，且 PHP 的
PCRE有回溯限制，可能触发PREG_BACKTRACK_LIMIT_ERROR - IPv6 地址完全不处理（
ip2long()失效），如果站点已启用 IPv6，这部分逻辑会跳过
建议改用更可控的方式：
// 判断是否匹配 192.168.0.0/16
function ip_in_cidr($ip, $cidr) {
list($subnet, $bits) = explode('/', $cidr);
$ip_long = ip2long($ip);
$subnet_long = ip2long($subnet);
$mask = -1 << (32 - $bits);
return ($ip_long & $mask) === ($subnet_long & $mask);
}
黑名单文件要热更新，但 PHP 不会自动重载
你用脚本往 ip_blacklist.conf 写入新 IP，Nginx reload 后生效；但如果在 PHP 层读文件做判断（比如 file('blacklist.txt')），每次请求都读磁盘，IO 压力大，还容易因缓存导致新规则延迟生效。
- 避免在每次请求中
file_get_contents()读黑名单文本 —— 改用 APCu 缓存，定时刷新（如每 30 秒） - 不要把黑名单数组硬编码在 PHP 文件里（如
$blacklist = ['1.1.1.1', '2.2.2.2'];），改完要重启 FPM - 如果用数据库存黑名单，务必加索引到
ip字段，并用SELECT 1 FROM blacklist WHERE ip = ? LIMIT 1快速探查
Nginx + PHP 联动才是高可靠方案
纯 PHP 拦截挡不住高频扫描或 CC 攻击，响应已发出才终止，浪费资源；Nginx 层拦截更快、更早、更省 CPU。
- Nginx 的
geo+map指令可高效加载 IP 黑名单，配合return 403或deny，毫秒级阻断 - PHP 脚本只负责「收集可疑 IP」和「写入黑名单文件」，不参与实时判断
- 例如检测到 UA 包含
OpenAI-Proxy或 5 秒内请求 > 50 次，就把$real_ip写进/www/wwwroot/mysite.com/ip_blacklist.conf，再调用nginx -s reload（注意权限和原子性）
真正难的不是写函数，而是厘清流量路径、确认真实 IP 来源、平衡实时性与性能、以及让 Nginx 和 PHP 各司其职——漏掉任一环，黑名单就形同虚设。
