多级反向代理中X-Forwarded-For需追加而非覆盖，应使用$proxy_add_x_forwarded_for；配合real_ip模块与set_real_ip_from等指令才能准确还原真实客户端IP。

在多级反向代理（如用户 → CDN → Nginx A → Nginx B → 应用）场景下，正确传递 X-Forwarded-For 链的关键不是“覆盖”，而是“追加”——Nginx 默认的 proxy_set_header X-Forwarded-For $remote_addr; 会丢弃上游已有的值，导致链路断裂。必须显式保留并拼接。

理解 X-Forwarded-For 的链式结构

X-Forwarded-For 是一个由逗号+空格分隔的 IP 列表，最左边是原始客户端 IP，后续每级代理追加自己的 $remote_addr。例如：
X-Forwarded-For: 203.0.113.5, 198.51.100.2, 192.0.2.10
表示：客户端是 203.0.113.5，经 CDN（198.51.100.2）再到本机（192.0.2.10）。

正确配置 proxy_set_header 追加而非覆盖

在每一级 Nginx 的 location 或 server 块中，使用以下写法：

WeChat macOS Proxy

macOS 微信消息自动化工具。通过 GUI 自动化实现：发送消息给指定联系人、读取聊天内容、监控新消息。适用于需要自动化微信操作的场景，如定时发送、批量回复、消息备份等。依赖 peekaboo 进行屏幕截图和 UI 交互。仅支持 macOS。开源地址：https://github.com/chairmanmia...

下载

• 用 $proxy_add_x_forwarded_for —— 这是 Nginx 内置变量，它会自动将 $remote_addr 追加到上游请求头中的 X-Forwarded-For 值后（若无则仅设为 $remote_addr）
• 禁用默认的 proxy_set_header X-Forwarded-For $remote_addr;，否则会覆盖整条链
• 完整示例：

location / {
    proxy_pass http://backend;
    proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
    proxy_set_header X-Real-IP $remote_addr;
    proxy_set_header Host $host;
}

可信代理链需配合 real_ip 模块还原真实客户端 IP

仅传递头不够，后端或日志中想直接拿到原始客户端 IP，需启用 ngx_http_realip_module（通常已编译）：

• 在 http 或 server 块中声明可信代理段：

set_real_ip_from 198.51.100.0/24;  # CDN 网段
set_real_ip_from 192.0.2.0/24;      # 上一级 Nginx 网段
real_ip_header X-Forwarded-For;
real_ip_recursive on;

real_ip_recursive on 表示从右往左逐层剔除可信代理 IP，直到遇到第一个不可信地址，即为真实客户端 IP。

验证与调试建议

• 在后端应用中打印完整的 X-Forwarded-For 头，确认是否呈现多段 IP
• 用 curl -H "X-Forwarded-For: 1.1.1.1" http://your-site/ 模拟上游头，观察是否变成 1.1.1.1, $remote_addr
• 检查 Nginx error log 是否有 invalid real ip 警告，说明 set_real_ip_from 未覆盖全部代理 IP 段