需启用 ngx_http_realip_module 模块，配置 set_real_ip_from 指定 WAF 可信出口 IP 段，real_ip_header 匹配 WAF 实际注入头（如 X-Real-IP 或 Cf-Connecting-IP），并开启 real_ip_recursive on 实现真实客户端 IP 还原。
当 Web 应用部署在 WAF（如 Cloudflare、阿里云WAF、腾讯云WAF 或自建 Nginx 反向代理）之后，后端 Nginx 默认收到的 $remote_addr 是 WAF 的出口 IP，而非真实用户 IP。要还原客户端真实 IP，需配合 ngx_http_realip_module 模块，结合可信代理 IP 和请求头（如 X-Forwarded-For 或 X-Real-IP）进行识别与覆盖。
确认模块已启用并支持 realip 功能
Nginx 官方主线版本（1.11.0+）默认编译进 ngx_http_realip_module；但部分精简版（如某些 Docker 镜像或 OpenResty 旧版）可能未启用。可通过以下命令验证：
nginx -V 2>&1 | grep -o with-http-realip-module
若无输出，需重新编译 Nginx 并添加 --with-http_realip_module 参数，或更换包含该模块的发行版。
配置 trusted proxy 列表与源 IP 头字段
WAF 作为中间代理，会把原始客户端 IP 写入请求头（常见为 X-Forwarded-For，部分厂商用 Cf-Connecting-IP 或 X-Real-IP）。Nginx 需明确知道哪些上游 IP 是可信的，才能安全地从对应头中提取真实 IP。
在 http 或 server 块中添加：
set_real_ip_from 192.0.2.0/24; # 替换为你的 WAF 出口网段，例如 Cloudflare 的官方 IP 段set_real_ip_from 2001:db8::/32;real_ip_header X-Forwarded-For;# 若 WAF 固定只写一个 IP（如阿里云WAF），可改用：# real_ip_header X-Real-IP;real_ip_recursive on;
-
set_real_ip_from必须精确填写 WAF 实际回源的公网 IP 或 CIDR 网段（不可填0.0.0.0/0，否则存在 IP 伪造风险） -
real_ip_header要与 WAF 实际注入的头一致；Cloudflare 推荐用Cf-Connecting-IP（更安全），阿里云/腾讯云通常用X-Real-IP -
real_ip_recursive on表示启用递归解析：当X-Forwarded-For含多个 IP（如A, B, C），且 C 是可信 WAF IP，则取紧邻的 B 为真实客户端 IP
验证 $remote_addr 是否已更新为真实 IP
配置生效后，$remote_addr 将自动变为还原后的客户端 IP，可用于日志记录、限流、访问控制等。建议在 log_format 中显式打印验证：
log_format main '$remote_addr - $remote_user [$time_local] "$request" ' '$status $body_bytes_sent "$http_referer" ' '"$http_user_agent" "$http_x_forwarded_for"';
重启 Nginx 并发起请求，检查 access log 中 $remote_addr 是否为预期的客户端公网 IP（而非 WAF IP）。也可临时加个 location 返回头信息调试：
location /debug-ip { return 200 "X-Forwarded-For: $http_x_forwarded_for\nRemote-Addr: $remote_addr\n";}
注意事项与常见陷阱
- WAF 若开启“透传客户端 IP 到 X-Real-IP”，而你仍配置
real_ip_header X-Forwarded-For，会导致取错——务必核对 WAF 文档使用的头字段名 - 多层代理（如 CDN → WAF → Nginx）时，
set_real_ip_from需包含所有上一级可信代理的出口 IP，并开启real_ip_recursive on - 若使用
X-Forwarded-For，注意它可能被客户端伪造；仅当set_real_ip_from限定的 IP 发起请求时，Nginx 才信任该头，这是安全前提 - PHP 等后端应用不直接读
$remote_addr，需通过$_SERVER['REMOTE_ADDR']—— 此值由 Nginx 设置，无需额外代码修改（前提是 PHP-FPM 未覆盖）
