phpEnv默认Nginx为单层代理，$_SERVER['REMOTE_ADDR']恒为127.0.0.1或内网IP，必须手动添加proxy_set_header设置X-Real-IP等头并校验可信代理源。
直接说结论：phpEnv 默认配置的 Nginx 是单层反向代理（Nginx → PHP-FPM），但若你手动加了 CDN、云 WAF 或额外 Nginx 实例，就构成多级代理——此时 $_SERVER['REMOTE_ADDR'] 必然不准，必须靠头字段 + 白名单校验，否则日志和风控全失效。
phpEnv 的 Nginx 默认不传真实 IP，必须手动补 proxy_set_header
phpEnv 安装后生成的 Nginx 配置（通常在 /phpenv/nginx/conf/vhost/xxx.conf）默认只做最简转发，不会自动设置 X-Real-IP 或 X-Forwarded-For。这意味着即使你本地没加 CDN，只要走的是 phpEnv 自带的 Nginx 入口，$_SERVER['REMOTE_ADDR'] 拿到的也只是 127.0.0.1 或 192.168.x.x（取决于 php-fpm 连接方式）。
实操建议：
- 打开对应站点的 Nginx 配置文件，在
location ~ \.php$块或server块内添加：
proxy_set_header X-Real-IP $remote_addr; proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; proxy_set_header X-Forwarded-Proto $scheme;
注意：$proxy_add_x_forwarded_for 会保留原有值并追加，比硬写 $remote_addr 更安全；$scheme 对 HTTPS 判断很关键，别漏。
立即学习“PHP免费学习笔记（深入）”；
多级代理下不能只看 X-Forwarded-For 第一个 IP
如果你在 phpEnv 前又套了一层 Cloudflare 或阿里云 SLB，$_SERVER['HTTP_X_FORWARDED_FOR'] 就可能变成类似 "1.2.3.4, 173.245.49.100, 10.0.0.5" 的格式——最右边是 phpEnv 所在机器的内网 IP，最左边是用户 IP，但中间可能混入不可信代理或伪造值。
常见错误现象：
- 用
explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0]取 IP，结果被 curl 伪造头绕过 - 没过滤私有地址段（如
192.168.0.0/16），把内网 IP 当作用户 IP 记录 - 忽略
$_SERVER['REMOTE_ADDR']来源，对非可信 IP 也读取该头
实操建议：
- 先检查
$_SERVER['REMOTE_ADDR']是否属于你可控的代理网段（比如 phpEnv 本机是127.0.0.1，或局域网是192.168.50.0/24） - 只在匹配白名单时，才处理
HTTP_X_FORWARDED_FOR - 用
array_filter(array_map('trim', explode(',', $xff)), 'filter_var', FILTER_VALIDATE_IP)提取所有合法 IP，再取第一个非私有地址（!filter_var($ip, FILTER_FLAG_NO_PRIV_RANGE)）
优先用 X-Real-IP，它比 X-Forwarded-For 更难伪造
X-Real-IP 是 Nginx 主动注入的头，只要你在 Nginx 配置里写了 proxy_set_header X-Real-IP $remote_addr;，且该请求确实来自这台 Nginx，那这个值就是可靠的——客户端无法通过请求头覆盖它（不像 X-Forwarded-For 可被任意添加）。
使用场景：
- phpEnv 单层代理（Nginx → PHP）：直接信任
$_SERVER['HTTP_X_REAL_IP']，无需解析逗号列表 - 前端有 Cloudflare：它会设
CF-Connecting-IP，优先级应高于X-Forwarded-For，但低于你自己 Nginx 设的X-Real-IP - PHP 7.3+ 可用
getallheaders()，但在 php-fpm 下可能不可用，稳妥起见仍用$_SERVER超全局
示例判断逻辑（精简版）：
$trusted = ['127.0.0.1', '192.168.50.0/24'];
$ip = null;
if (in_array($_SERVER['REMOTE_ADDR'], $trusted) || ip_in_range($_SERVER['REMOTE_ADDR'], $trusted)) {
if (!empty($_SERVER['HTTP_X_REAL_IP']) && filter_var($_SERVER['HTTP_X_REAL_IP'], FILTER_VALIDATE_IP)) {
$ip = $_SERVER['HTTP_X_REAL_IP'];
}
}
（ip_in_range() 需自行实现 CIDR 解析，别只用 == 判段）
最容易被忽略的一点：Nginx 的 set_real_ip_from 和 real_ip_header 指令虽能“让 $_SERVER['REMOTE_ADDR'] 变真实”，但它要求你把真实 IP 写进指定 header（如 X-Real-IP），然后 Nginx 主动替换——这在 phpEnv 多级代理中容易配错层级，反而让 REMOTE_ADDR 变成空或错乱。不如老老实实读 HTTP_X_REAL_IP 并校验来源。
