透传X-Forwarded-For需用$proxy_add_x_forwarded_for并配置real_ip_module：先设set_real_ip_from和real_ip_header，开启real_ip_recursive，使$remote_addr为真实IP，后端取X-Forwarded-For首IP，日志直接用$remote_addr。
透传 X-Forwarded-For 不是简单地“复制粘贴”客户端头，而是要兼顾链路完整性、防伪造和多层代理兼容性。核心在于用对变量、配好前置信任机制，并让后端能安全提取。
必须用 $proxy_add_x_forwarded_for，别直接写 $remote_addr
这是最关键的实践区别：
-
$proxy_add_x_forwarded_for会先检查原始请求中是否已有X-Forwarded-For头；如果有，就在末尾追加当前真实 IP（即$remote_addr）；如果没有，就直接设为$remote_addr - 如果写成
proxy_set_header X-Forwarded-For $remote_addr，会彻底覆盖上游（如 CDN 或 WAF）传来的原始链路，导致最左边的真实 IP 丢失 - 例如：用户 → Cloudflare → Nginx → 后端。Cloudflare 已设
X-Forwarded-For: 203.0.113.1，Nginx 若覆盖写死，后端就只看到自己的内网 IP，再也看不到203.0.113.1
多层代理时，先让 $remote_addr 变成真实 IP
当 Nginx 前面还有可信代理（如阿里云 SLB、腾讯云 CLB、自建 CDN），$remote_addr 默认只是那个代理的出口 IP，不是用户真实 IP。此时必须启用 real_ip_module 并配置信任链：
- 在
http、server或location块中添加可信段：set_real_ip_from 100.64.0.0/10;（阿里云私网回源）set_real_ip_from 203.205.128.0/17;（实际 CDN 网段） - 指定从哪个头读取原始链路：
real_ip_header X-Forwarded-For; - 开启递归解析：
real_ip_recursive on;（这样 Nginx 会从右往左剔除所有已知代理 IP，把最左非私有 IP 赋给$remote_addr）
完成这步后，$proxy_add_x_forwarded_for 才真正基于用户真实 IP 追加，链路才可信。
FastAPI Flask Proxy
下载
FastAPI + Flask 混合部署最佳实践，解决路由定义、API 代理等常见问题，适用于同时运行 FastAPI API 与 Flask 前端的场景。
后端读取时，取逗号分隔后的第一个 IP
Nginx 透传只是“发出去”，后端不主动解析就毫无意义。注意：
-
X-Forwarded-For值格式为：203.0.113.1, 198.51.100.2, 10.10.10.10（从左到右：用户 → 中间代理1 → 中间代理2） - 最左边才是客户端真实 IP，其余是各级代理出口 IP
- Node.js：
req.headers['x-forwarded-for']?.split(',')[0].trim() - PHP：
explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0] ?? $_SERVER['REMOTE_ADDR'] - Java：
request.getHeader("X-Forwarded-For").split(",")[0].trim()
日志里也想记录真实 IP？复用 same 配置即可
只要 set_real_ip_from 和 real_ip_header 已启用，$remote_addr 就已是真实 IP。access_log 中直接引用它：
log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent"';
无需额外指令，也不用改 $http_x_forwarded_for —— 那个头可能被伪造，$remote_addr 经过 real_ip_module 校验才可靠。
