Laravel中直接用ip规则校验IP格式，支持IPv4/IPv6；取X-Forwarded-For需清洗拆分并逐个filter_var校验；防私有IP需额外用FILTER_FLAG_NO_PRIV_RANGE等判断公网IP；$request->ip()返回null或127.0.0.1多因未配置可信代理。
laravel validate 验证器里怎么写 IP 格式校验
直接用 ip 规则就行，Laravel 原生支持，不需要额外包或正则手写。
它会同时校验 IPv4 和 IPv6（除非你明确限定）；但注意：它只检查格式合法性，不判断是否真实可达、是否私有、是否被封禁。
-
ip：接受 IPv4 或 IPv6（如192.168.1.1、::1） -
ipv4：仅 IPv4（10.0.0.255合法，::ffff:127.0.0.1不合法） -
ipv6：仅 IPv6（2001:db8::1合法，127.0.0.1不合法） - 多个规则可组合，比如
required|ip|not_in:127.0.0.1,::1
示例：
request()->validate([
'client_ip' => 'required|ip'
]);
从 request header 取 X-Forwarded-For 后怎么安全校验
别直接信任 X-Forwarded-For 的原始值——它可能被客户端伪造，也可能含多个 IP（逗号分隔），还可能混入非 IP 字符（如 1.2.3.4, 127.0.0.1, unknown）。
Laravel 默认的 $request->ip() 已经做了基础代理链解析，但如果你手动取 header，就得自己清理和校验。
- 先用
explode(',', $header)拆开，再trim()每一段 - 跳过空值、
unknown、含端口的（如1.2.3.4:8080） - 对每个候选 IP 单独用
filter_var($ip, FILTER_VALIDATE_IP)校验，别图省事用正则 - 生产环境建议只取第一个可信 IP（即最右边那个，假设你有可信反向代理链）
错误写法：request()->header('X-Forwarded-For') 直接丢进 ip 规则 → 会因逗号或空格报 The client ip format is invalid.
验证通过后还要防私有 IP 冒充怎么办
ip 规则默认不限制私有地址（10.0.0.0/8、172.16.0.0/12、192.168.0.0/16、127.0.0.0/8、::1 等都算合法），而 API 接口通常不该收到来自内网的请求。
需要额外加逻辑过滤，不能只靠验证规则。
- 用
filter_var($ip, FILTER_VALIDATE_IP, FILTER_FLAG_NO_PRIV_RANGE | FILTER_FLAG_NO_RES_RANGE)判断是否为公网 IP - 注意：IPv6 的私有/保留范围更复杂，
FILTER_FLAG_NO_PRIV_RANGE对部分 IPv6 地址（如fd00::/8）无效，需单独处理 - 如果业务允许云厂商内网（如阿里云
100.64.0.0/10），得白名单补充校验
别在 validation rule 里硬塞这个逻辑——自定义 rule 容易漏掉 NULL 或空字符串边界，建议在 controller 或 request 类的 prepareForValidation() 里做清洗和拦截。
为什么有时候 $request->ip() 返回 null 或 127.0.0.1
不是验证问题，是 Laravel 获取客户端 IP 的机制本身依赖配置和部署环境。
它默认读 REMOTE_ADDR，但在 Nginx/Apache 前有 CDN 或反向代理时，真实 IP 在 X-Forwarded-For 或 X-Real-IP 里，而 Laravel 不会自动信任这些 header，除非你显式配置可信代理。
- 检查
App\Http\Middleware\TrustProxies是否启用，且$proxies配置正确（别写成*，应填具体 IP 段或数组） - 确认 web 服务器已把真实 IP 写入 header，例如 Nginx 要有
proxy_set_header X-Real-IP $remote_addr; - 本地开发用 Valet / Homestead 时，
$request->ip()返回127.0.0.1是正常现象，不代表线上也会这样
没配可信代理就去验证 header 里的 IP，等于拿不可信数据做校验——再严格的规则也挡不住伪造源头。
