直接取X-Forwarded-For最左IP会失效，因该头可被客户端任意伪造（如X-Forwarded-For: 1.2.3.4, 5.6.7.8），而真实代理仅在可信链路末尾追加IP；应校验RemoteAddr是否属可信网段，再逆序解析XFF取首个公网IP，跳过所有私有IP。
为什么直接取 X-Forwarded-For 最左 IP 会失效
因为客户端可任意伪造该头，比如发 X-Forwarded-For: 1.2.3.4, 5.6.7.8，你若无条件取第一个，就等于把控制权交给了攻击者。真实场景中，Nginx 或 CDN 只会在可信链路末尾追加自己的 IP，所以“最左”不等于“最外”，而是“最不可信”。真正该信任的是最右那个——前提是它来自已知代理网段。
如何用 net/http 手动解析可信 X-Forwarded-For
别依赖框架的“智能提取”，自己写一个 GetClientIP(*http.Request) string 函数，核心逻辑是：
- 先检查
r.RemoteAddr的 IP 部分（用strings.Split(r.RemoteAddr, ":")[0]剥离端口），这是 TCP 连接源地址，无法伪造 - 若该 IP 属于你配置的可信代理段（如
"192.168.0.0/16"、"100.64.0.0/10"），再解析r.Header.Get("X-Forwarded-For") - 对逗号分隔的值做
strings.TrimSpace后逆序遍历，跳过所有私有 IP（127.0.0.0/8、10.0.0.0/8、172.16.0.0/12、192.168.0.0/16），取第一个公网 IP - 否则回落到
RemoteAddr解析出的 IP
Gin 框架里 c.ClientIP() 默认为何不能用
它默认开启 ForwardedByClientIP，但没配 SetTrustedProxies，结果只信任 127.0.0.1/32 和 ::1/128。线上走 Nginx 或 CDN 后，c.ClientIP() 就退化成 RemoteAddr，也就是代理内网地址（比如 10.0.1.5）。必须显式调用：
engine := gin.Default()
engine.SetTrustedProxies([]string{"192.168.0.0/16", "100.64.0.0/10"})
注意：传空切片 []string{} 会禁用所有头解析，强制回退到 RemoteAddr；传 nil 则用默认值（仅本地回环）。
Golang Uber Dig
下载
使用 uber-go/dig 在 Golang 中实现依赖注入——基于反射容器，提供 Provide/Invoke、dig.In/dig.Out 参数与结果对象，支持命名依赖等
立即学习“go语言免费学习笔记（深入）”；
黑名单中间件里怎么避免被 X-Real-IP 绕过
X-Real-IP 单值、由 Nginx 直接设，伪造难度略高，但它仍可被上游恶意代理篡改。所以不要单独依赖它，而应和 X-Forwarded-For 联合校验：
- 若请求来源 IP（
RemoteAddr）在可信段内，且X-Real-IP非空，则优先用它 - 否则 fallback 到上面说的
X-Forwarded-For逆序解析逻辑 - 永远不接受
X-Forwarded-For中的私有 IP，哪怕它看起来“更左” - 对
/healthz、/metrics等探针路径，建议跳过 IP 校验，否则健康检查可能被误拦
真实 IP 解析不是“选一个头读出来”，而是“验证谁有资格写这个头”。漏掉可信代理段配置，或忽略私有 IP 过滤，这两点在线上环境几乎必然导致绕过。
