可靠做法是前端代理统一用$proxy_add_x_forwarded_for追加链路，后端Nginx启用real_ip_module基于可信代理白名单递归解析X-Forwarded-For，剔除所有可信代理IP后取最左合法IP作为真实客户端IP。
直接在每层代理上设置 proxy_set_header X-Real-IP $remote_addr 无法保证回溯到最原始客户端 IP，因为该指令只是把当前代理的直连上游 IP（即上一跳地址）写入 X-Real-IP，而非原始用户 IP。真正可靠的做法是：**前端代理统一用 $proxy_add_x_forwarded_for 追加链路，后端 Nginx 启用 real_ip_module 基于可信代理白名单递归解析**。
每级代理必须正确追加 X-Forwarded-For
所有中间代理（包括 CDN、LB、Nginx-A、Nginx-B）都要在 location 块中配置：
-
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 自动拼接已有头 + 当前$remote_addr，用逗号分隔 -
proxy_set_header X-Real-IP $remote_addr;—— 记录本跳直连 IP，供调试或日志参考，但不用于真实 IP 判定 -
proxy_set_header X-Forwarded-Proto $scheme;—— 避免后端协议误判
例如：用户 IP 是 203.0.113.45，经 CDN → LB → Nginx → 应用，则最终 X-Forwarded-For 值为：203.0.113.45, 198.51.100.1, 203.0.113.10
最后一级 Nginx 必须启用 real_ip_module 解析
仅靠读取 X-Forwarded-For 第一个值极不安全（可被客户端伪造）。应在直接面向应用的 Nginx 节点（即最末一级反向代理）配置：
- 确认已编译
--with-http_realip_module（运行nginx -V | grep realip验证） - 在
http或server块中声明所有可信上游代理段：set_real_ip_from 198.51.100.0/24;（CDN 网段）set_real_ip_from 203.0.113.0/24;（内部 LB/Nginx 网段） -
real_ip_header X-Forwarded-For;—— 指定从哪个头提取 IP 链路 -
real_ip_recursive on;—— 启用递归剔除：从右往左比对，跳过所有在set_real_ip_from中的 IP，取第一个不在列表中的 IP 作为真实客户端 IP
配置生效后，$remote_addr 和 $realip_remote_addr 就自动变为 203.0.113.45，日志、限流、访问控制均可直接使用。
后端应用必须显式信任并读取解析后的结果
Nginx 的 real_ip_module 只负责重写 $remote_addr，后端若仍读 $_SERVER['REMOTE_ADDR'] 或 req.ip 原生值，就等于没传。
- Spring Boot：设
server.forward-headers-strategy=framework，确保 Tomcat 调用setRemoteIpHeader("X-Forwarded-For") - Flask：用
ProxyFix中间件，指定num_proxies=3或trusted_hosts=["198.51.100.1", "203.0.113.10"] - PHP / Node.js / Django：禁止直接用
REMOTE_ADDR，优先读HTTP_X_REAL_IP（由 realip 注入，已校验），fallback 到HTTP_X_FORWARDED_FOR中第一个合法公网 IP
验证是否生效
添加自定义日志格式快速确认：
log_format debug_log '$remote_addr ← $realip_remote_addr | $http_x_forwarded_for';access_log /var/log/nginx/debug.log debug_log;
用 curl 模拟请求：curl -H "X-Forwarded-For: 203.0.113.45, 198.51.100.1" http://your-domain/
观察日志中 $remote_addr 是否已变为 203.0.113.45，且 $realip_remote_addr 与之相同。
