Apache反向代理需三步透传真实IP：1.用RequestHeader unset/set指令可信注入X-Forwarded-For；2.后端框架（如Spring Boot、Express）主动解析并校验该头首地址；3.同步更新日志格式、mod_remoteip配置及安全策略，同时透传X-Forwarded-Proto确保协议一致。
Apache 反向代理默认会让后端看到的是 Apache 自己的 IP（比如 127.0.0.1），而不是用户真实 IP。要透传真实 IP，关键不是只加一个头，而是三步协同：Apache 正确设置并传递 X-Forwarded-For，后端服务识别该头，且日志或安全逻辑不被伪造头干扰。
确保 Apache 主动注入可信的 X-Forwarded-For
Apache 不会自动创建这个头，必须显式配置。推荐方式是先清空客户端可能伪造的值，再由 Apache 基于真实连接写入：
-
清除不可信来源：
RequestHeader unset X-Forwarded-For -
注入真实客户端 IP：
RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" - 如果前端还有 CDN 或 Nginx，需确认它们已正确追加该头；Apache 此处只负责最终一跳的可信写入
让后端能安全读取真实 IP
Java、Spring Boot、Node.js 等框架默认不解析 X-Forwarded-For，需主动适配：
Apache Superset Dashboard and SQL Exploration Skill
下载
Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。
- Java 应用应使用
request.getHeader("X-Forwarded-For")并取第一个非空、非私有地址（如过滤掉127.0.0.1、10.0.0.0/8） - Spring Boot 可配
server.forward-headers-strategy=framework启用内置支持 - Node.js（Express）建议用
req.ip或req.headers['x-forwarded-for']?.split(',')[0].trim()
同步更新访问日志和安全判断依据
仅改响应头不够，日志和限流/鉴权模块也得用真实 IP：
- 修改 Apache 日志格式，把
%h换成%{X-Forwarded-For}i：LogFormat "%{X-Forwarded-For}i %l %u %t \"%r\" %>s %b \"%{Referer}i\" \"%{User-Agent}i\"" combined - 若启用
mod_remoteip模块，可让%a和REMOTE_ADDR直接变成真实 IP（需配合RemoteIPHeader X-Forwarded-For） - 防火墙或 WAF 规则若依赖
REMOTE_ADDR，需同步调整为信任X-Forwarded-For的首地址
注意 HTTPS 终结时的协议透传
当 Apache 终结 HTTPS，后端走 HTTP 时，后端常误判协议导致重定向异常：
- 添加：
RequestHeader set X-Forwarded-Proto "https"（HTTP 虚拟主机则设为"http"） - Spring Boot 需配
server.tomcat.remote-ip-header=x-forwarded-for和server.tomcat.protocol-header=x-forwarded-proto - 避免后端生成
http://链接却在浏览器里用https://访问，引发混合内容警告
