要让后端拿到真实客户端IP，需三步协同：Nginx先通过set_real_ip_from和real_ip_header识别真实IP并更新$remote_addr，再用proxy_set_header透传X-Real-IP和X-Forwarded-For，最后后端主动从请求头读取而非依赖REMOTE_ADDR。
要让后端拿到真实客户端 IP，不能只靠 proxy_set_header 写两行就完事。关键在于：Nginx 先识别出真实 IP，再透传出去，后端还得主动读取——三者必须同时到位。
先让 $remote_addr 变成真实 IP
默认情况下，$remote_addr 是直接连 Nginx 的上一跳地址。如果前面有 CDN、SLB 或 WAF，它就不是用户真实 IP，而是代理的出口 IP。这时得靠 set_real_ip_from 和 real_ip_header 告诉 Nginx：“哪些 IP 是我信得过的代理，它们传来的头我才认”。
- 在
http、server或location块中添加可信网段，比如：set_real_ip_from 203.205.128.0/17;（阿里云 SLB）set_real_ip_from 10.0.0.0/8;（内网网关） - 指定从哪个头提取真实 IP：
real_ip_header X-Forwarded-For;（推荐）或real_ip_header X-Real-IP; - 启用递归解析：
real_ip_recursive on;—— 这样 Nginx 会从X-Forwarded-For列表里剔除所有已知代理 IP，留下最左边那个原始用户 IP，并把它设为新的$remote_addr
再用 proxy_set_header 把它稳稳传出去
等 $remote_addr 已经是真实 IP 后，才能放心用它设置请求头。这些指令必须放在 proxy_pass 行之前：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
-
proxy_set_header X-Real-IP $remote_addr;—— 单值清晰，后端可直接读取，不建议用$http_x_real_ip等原始头，防伪造 -
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;—— 自动追加当前真实 IP 到已有链路末尾，保留完整路径（如203.0.113.1, 198.51.100.2），后端取第一个即可 -
proxy_set_header X-Forwarded-Proto $scheme;—— 透传 http/https，避免后端误判协议
后端必须主动读取，不能依赖 REMOTE_ADDR
Nginx 只负责“发”，后端框架默认返回的仍是连接发起方地址（即 Nginx 的 IP），不是 header 里的值。你得手动从 header 提取：
- PHP：
$_SERVER['HTTP_X_REAL_IP']或$_SERVER['HTTP_X_FORWARDED_FOR']拆分后取首项 - Node.js（Express）：
req.headers['x-real-ip']或req.headers['x-forwarded-for'].split(',')[0].trim() - Java（Servlet）：
request.getHeader("X-Real-IP")，而不是getRemoteAddr()
顺便让 access_log 也记录真实 IP
如果希望日志里直接显示用户真实 IP（而不是 127.0.0.1 或代理 IP），复用上面的 set_real_ip_from 和 real_ip_header 配置即可。启用 real_ip_module 后，$remote_addr 在日志中就自动变成真实 IP，无需额外解析。
