正确记录原始客户端IP需结合%{X-Forwarded-For}i记录完整代理链供审计，并启用mod_remoteip模块配置RemoteIPInternalProxy和RemoteIPHeader，使%a返回经可信验证的最左真实IP，同时用RequestHeader unset清除客户端伪造头。

在 Apache 作为反向代理（或后端服务）运行时，它默认只记录直接连接它的客户端 IP（即上一级代理、CDN 或负载均衡器的内网地址），而非真实用户 IP。要准确记录原始客户端连接信息，关键不是“提取 X-Forwarded-For 的第一个 IP”，而是建立可信链路并让日志反映经过验证的真实来源。

用 %{X-Forwarded-For}i 记录完整代理链

这是最基础也最通用的做法，适合审计与排查：

• 在 httpd.conf 或虚拟主机配置中定义新日志格式，例如：

LogFormat "%h %{X-Forwarded-For}i %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined_xff

• %h：保留代理层 IP（便于定位哪台 Nginx/CDN 回源）
• %{X-Forwarded-For}i：原样记录请求头内容，如 203.0.113.45, 198.51.100.22, 172.16.0.10，最左即原始客户端 IP
• 该方式不依赖模块，但需确保上游（如 Nginx）已正确设置：proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;

用 mod_remoteip 获取可信真实 IP（推荐用于分析与限流）

仅记录字符串不够——你需要一个可信赖、已剥离私有代理干扰的 IP 值。这需要启用 mod_remoteip：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• 确认模块已加载：LoadModule remoteip_module modules/mod_remoteip.so
• 指定可信代理段（填你实际使用的内网网段）：RemoteIPInternalProxy 10.0.0.0/8 172.16.0.0/12 192.168.0.0/16
• 声明头部字段：RemoteIPHeader X-Forwarded-For
• 之后即可用 %a 替代 %h，它返回经 remoteip 解析后的最左可信 IP（自动跳过伪造或内网地址）

配合日志格式：LogFormat "%h %a %l %u %t \"%r\" %>s %b" realip_log

防止客户端伪造与头污染

X-Forwarded-For 可被任意客户端发送，必须主动清理：

• 在 Apache 配置开头添加：RequestHeader unset X-Forwarded-For early，清空所有客户端提交的该头
• 只允许你控制的代理（如 Nginx）添加该头；若有多级代理（CDN → Nginx → Apache），确保 CDN 不自行追加，而由 Nginx 统一生成
• 若使用 X-Real-IP（更简洁），Nginx 中应设为：proxy_set_header X-Real-IP $remote_addr;，Apache 日志中用 %{X-Real-IP}i 即可

验证与常见问题

配置完成后重启 Apache，并用 curl 测试：

• curl -H "X-Forwarded-For: 192.168.1.100" http://your-site/ —— 查看 access_log 是否出现该 IP
• 若 %{X-Forwarded-For}i 显示为 -，说明前端未传该头，先检查 Nginx 或 CDN 配置
• 若显示多个 IP 但首个不是你预期的，说明中间某层代理重复添加了该头，需检查代理链行为