必须启用realip模块并配置可信代理，用$remote_addr（已校验）替代默认直连IP记录日志；同时上游需透传X-Forwarded-For头，Python后端应读取X-Real-IP而非REMOTE_ADDR。
在 Nginx + Python（如 Flask/Gunicorn）部署中，要让日志准确记录客户端真实 IP，不能只靠简单写入 $remote_addr，必须解决两层问题：一是 Nginx 正确识别并替换真实 IP（尤其当前端有 CDN、SLB 或反向代理时），二是日志格式中使用经校验后的变量，而非原始连接地址。
启用 realip 模块并配置可信代理链路
Nginx 默认的 $remote_addr 是直连它的上一跳 IP（比如负载均衡器或本机 Gunicorn），不是用户真实 IP。需通过 http_realip_module 动态修正该变量：
- 确认模块已启用：
nginx -V 2>&1 | grep -o http_realip，输出应含http_realip_module - 在
http块中声明可信代理网段（根据实际环境选填）：set_real_ip_from 100.64.0.0/10;（云厂商 SLB 常用）set_real_ip_from 192.168.0.0/16;（内网 LB）set_real_ip_from 127.0.0.1;（本地 Gunicorn 回源） - 指定头字段和递归解析：
real_ip_header X-Forwarded-For;real_ip_recursive on;
配置生效后，$remote_addr 就会自动更新为经可信链路验证后的用户真实 IP（IPv4 或 IPv6 字符串）。
定义日志格式并引用真实 IP 变量
在 http 块中定义新格式，直接使用 $remote_addr（此时已是真实 IP）：
立即学习“Python免费学习笔记（深入）”；
log_format python_app '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" rt:$request_time u:$upstream_response_time';
注意：
– 不要用 $http_x_forwarded_for 替代主 IP 字段，它可能被伪造且含多个 IP；
– 若你已在日志中记录 $realip_remote_addr，它与启用 realip 后的 $remote_addr 等价，但推荐统一用后者，语义更清晰。
确保上游透传 X-Forwarded-For 头
若 Python 应用（如 Gunicorn）前置了另一层 Nginx，或用了云 SLB，必须保证 XFF 头完整传递：
- 在代理 Nginx 的
location块中添加：proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;proxy_set_header X-Real-IP $remote_addr; - 避免重复添加 XFF（例如 Gunicorn 自己又加一次），否则头值会变成
1.1.1.1, 2.2.2.2, 2.2.2.2，realip 模块可能误判
可临时加一条调试日志验证：log_format debug '$http_x_forwarded_for ←→ $remote_addr ←→ $realip_remote_addr';
Python 后端不依赖 REMOTE_ADDR
即使 Nginx 日志已正确记录真实 IP，Python 应用本身仍不应读取 os.environ.get('REMOTE_ADDR') 或 request.environ['REMOTE_ADDR'] —— 它反映的是 Nginx 到 Gunicorn 的连接地址（通常是 127.0.0.1）。应统一从请求头获取：
– 使用 request.headers.get('X-Real-IP')（Nginx 设置的可信头）
– 或 request.headers.get('X-Forwarded-For').split(',')[0].strip()（仅当已确认链路可信）
