Apache需用mod_remoteip模块主动修正REMOTE_ADDR为真实IP：启用模块、设RemoteIPHeader指定头（如X-Forwarded-For）、严格配置RemoteIPTrustedProxy可信代理段，Java应用即可直接调用request.getRemoteAddr()获取真实IP。
Apache 作为反向代理或负载均衡层部署 Java Web 应用（如 Tomcat）时，请求头丢失和真实 IP 获取不准是高频问题。核心不在后端“怎么读”，而在 Apache 层“怎么传、怎么信、怎么修”——必须让 REMOTE_ADDR 变量本身变成客户端真实 IP，而不是靠 Java 代码手动解析不可信的头字段。
确保上游正确透传关键请求头
Apache 本身不生成 X-Forwarded-For，它只负责解析。所以第一步是确认前一级设备（Nginx、CDN、云 LB、HAProxy 等）已正确添加并追加该头：
- Nginx 示例：
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;（不是$remote_addr） - Cloudflare 默认用
Cf-Connecting-IP，阿里云 SLB 默认用X-Real-IP或X-Forwarded-For，需与 Apache 配置对齐 - 若前端是 Apache 自身（例如做多级代理），需启用
mod_headers并显式设置：RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e"
用 mod_remoteip 主动修正 REMOTE_ADDR
这是最安全、最推荐的方式（Apache 2.4+ 内置）。它在请求进入阶段就替换服务器变量，Java 应用可直接调用 request.getRemoteAddr() 得到真实 IP，无需额外解析逻辑：
- 启用模块：
LoadModule remoteip_module modules/mod_remoteip.so - 指定源 IP 所在头：
RemoteIPHeader X-Forwarded-For（若 CDN 用Cf-Connecting-IP，则改为此值） - 严格声明可信代理出口段：
RemoteIPTrustedProxy 192.168.5.0/24、RemoteIPTrustedProxy 203.0.113.45—— 必须是代理机器对外发起请求的真实 IP，不能写 VIP 或监听地址 - 若链路中含 PROXY Protocol（如 HAProxy 启用），还需加：
RemoteIPProxyProtocol On
Tomcat 端同步适配（避免双重解析）
即使 Apache 已修正 REMOTE_ADDR，Tomcat 默认仍以 socket 层连接 IP 为准。需启用 RemoteIpValve 并关闭自动 fallback：
立即学习“Java免费学习笔记（深入）”；
- 在
conf/server.xml的Engine或Host下添加 Valve： <Valve className="org.apache.catalina.valves.RemoteIpValve" remoteIpHeader="x-forwarded-for" protocolHeader="x-forwarded-proto" internalProxies="192\.168\.5\.\d{1,3}|203\.0\.113\.45" />-
关键点：
internalProxies正则必须与 Apache 的RemoteIPTrustedProxy完全对应；remoteIpHeader要与 Apache 的RemoteIPHeader一致 - 配置后，
request.getRemoteAddr()返回的就是真实客户端 IP，request.getHeader("x-forwarded-for")不再需要用于取 IP
日志与验证要点
配置是否生效，不能只看代码，要从链路源头验证：
- 检查模块加载：
httpd -M | grep remoteip，确认输出含remoteip_module (shared) - 开启 Apache 访问日志记录原始头：
LogFormat "%{X-Forwarded-For}i %a %l %u %t \"%r\" %>s %b" combined_xff，其中%a是 mod_remoteip 修正后的 IP - 在 Java 中打印：
System.out.println("RemoteAddr: " + request.getRemoteAddr() + ", XFF: " + request.getHeader("x-forwarded-for"))，二者应一致且为公网 IP - 若
X-Forwarded-For值为空、为内网地址、或格式异常（如缺逗号、含空格），说明上游未透传或中间某层覆盖了该头
