根本原因是real_ip机制需set_real_ip_from、real_ip_header、real_ip_recursive三指令协同且置于server块顶部；CDN未开启IP透传、fastcgi_param REMOTE_ADDR未指向$remote_addr或IP段配置错误也会导致失败。
为什么加了 set_real_ip_from 还是拿不到真实IP
根本原因不是没加，而是加得不完整或位置不对。Nginx 的 real_ip 机制依赖三个指令协同生效：set_real_ip_from、real_ip_header、real_ip_recursive，缺一不可，且必须放在 server { 块最顶部（任何 location 之前）。宝塔里常有人把它们塞进 location / { 里，结果完全不触发。
常见错误现象包括：$_SERVER['REMOTE_ADDR'] 仍是 CDN 节点 IP 或内网 IP；日志里 $remote_addr 没变；nginx -t 测试通过但实际无效。
-
set_real_ip_from必须精确填写你信任的代理 IP 段（如 Cloudflare、腾讯云 CDN、又拍云等公布的回源段），不能写0.0.0.0/0图省事——这等于放弃安全校验 -
real_ip_header要和 CDN 实际发送的头一致：多数用X-Forwarded-For，Cloudflare 默认用CF-Connecting-IP，部分厂商只发X-Real-IP -
real_ip_recursive on在多级代理（比如「用户 → CDN → Nginx → PHP-FPM」）时必须开启，否则只取最左一个 IP，可能仍是上一级代理 IP
怎么确认 CDN 到底发了哪个头
别猜，直接看请求原始头。在站点根目录放一个临时调试页：ipdebug.php，内容为：
<?php var_dump( $_SERVER['HTTP_X_FORWARDED_FOR'] ?? 'MISSING', $_SERVER['HTTP_X_REAL_IP'] ?? 'MISSING', $_SERVER['HTTP_CF_CONNECTING_IP'] ?? 'MISSING', $_SERVER['REMOTE_ADDR'] );
访问这个页面，观察输出。如果某一项显示真实 IP（比如 "1.2.3.4"），就说明 CDN 正确传递了该头；如果全是空或显示 CDN 节点 IP，说明 CDN 配置没开透传，或你填错了 real_ip_header。
- Cloudflare 用户优先检查
HTTP_CF_CONNECTING_IP，它比X-Forwarded-For更可靠（不会被伪造拼接） - 阿里云 CDN、腾讯云 CDN 默认只加
X-Real-IP，不是X-Forwarded-For，填错就白配 - 有些 CDN（如部分自建反代）可能只传
X-Forwarded-For且带多个 IP，此时real_ip_recursive on才能跳过中间节点取到最左真实 IP
PHP 层为什么还是读不到 $_SERVER['REMOTE_ADDR']
因为 Nginx 改的是内部变量 $remote_addr，但 PHP 能否拿到，取决于 FastCGI 参数有没有把它透传过去。宝塔默认配置里通常有这一行：
fastcgi_param REMOTE_ADDR $remote_addr;
但如果手动改过配置、用了第三方模板、或删过 fastcgi_param 区块，这行很可能丢失或被写成 fastcgi_param REMOTE_ADDR $http_x_forwarded_for; —— 后者极危险，会把伪造头直接当真实 IP。
- 打开站点配置文件，搜索
fastcgi_param REMOTE_ADDR，确保它指向$remote_addr，不是$http_x_forwarded_for或其他变量 - 如果找不到这行，手动加在
location ~ \.php$ {块内、include fastcgi.conf;之后（避免被覆盖） - 改完必须「重载 Nginx」，不是「保存」就行；且要确认 PHP-FPM 没缓存旧环境变量（可重启 PHP 服务验证）
CDN IP 段怎么找、要不要自动更新
Cloudflare、阿里云、腾讯云等都会定期更新回源 IP 段，硬编码写死迟早失效。比如 Cloudflare 官方 IP 列表每月可能新增/删减子网，写死一段半年后大概率漏掉新节点。
- Cloudflare：从
https://www.cloudflare.com/ips-v4和/ips-v6动态获取，建议用脚本定期拉取并生成set_real_ip_from规则（宝塔有插件支持自动同步） - 腾讯云 CDN：查文档「回源 IP 段」章节，注意区分「全站加速」和「静态加速」的 IP 不同
- 阿里云 CDN：控制台「域名管理 → 源站信息」里有「回源 IP 段」按钮，点开复制即可
- 自建反向代理（如 Nginx 反代另一台服务器）：只需写
set_real_ip_from 192.168.1.100;这类具体 IP，不用掩码
最易忽略的一点：即使所有配置都对，如果 CDN 服务商在控制台没开启「传递客户端真实 IP」开关（很多 CDN 默认关闭），那 Nginx 根本收不到任何相关 header——先去 CDN 后台翻一遍设置，比调 Nginx 配置更优先。
