c.ClientIP()总返回127.0.0.1或内网IP，因Gin默认不信任代理（v1.8）或盲目信任所有IP（v1.9+），未显式配置SetTrustedProxies及Nginx正确注入X-Real-IP/X-Forwarded-For时，无法解析真实客户端IP。
为什么 c.ClientIP() 总是返回 127.0.0.1 或内网 IP
因为 Gin 默认不信任任何代理（v1.8）或默认信任所有 IP（v1.9+），而你的请求实际经过了 Nginx、Kubernetes Service、Ingress 或 CDN，c.ClientIP() 拿到的 c.Request.RemoteAddr 是上一跳代理的地址（比如 127.0.0.1:54321 或 10.244.1.5:38291），根本不是用户出口 IP。
它不会自动“穿透”代理链——必须显式告诉 Gin 哪些 IP 是可信的代理，否则它连 X-Forwarded-For 都不敢信。
- v1.8.x：未调用
r.SetTrustedProxies()→ 直接忽略X-Forwarded-For，退回到RemoteAddr - v1.9+：默认等价于
r.SetTrustedProxies(nil)→ 信任任意 IP 伪造的X-Forwarded-For，存在严重欺骗风险 - 即使设置了信任列表，若 Nginx 没正确追加头（比如用了
$remote_addr而非$proxy_add_x_forwarded_for），X-Forwarded-For也会被覆盖成代理自身 IP
如何安全配置 SetTrustedProxies 并指定头优先级
不要依赖默认值。启动时必须显式设置可信代理网段，并明确你希望 Gin 优先采信哪个头。
典型做法是：只信任你可控的反向代理（如 Nginx Pod CIDR、Ingress Controller 网段），并让 Gin 优先读 X-Real-IP（更简洁、不易被多级污染），其次 fallback 到 X-Forwarded-For 的第一个非私有 IP。
- 在
gin.Engine初始化后立即调用：r.SetTrustedProxies([]string{"10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16"})（根据你集群实际网段调整） - 禁用默认信任：
r.ForwardedByClientIP = true（保持默认即可，但别漏掉上一步） - 如需强制优先
X-Real-IP，可自定义中间件替代c.ClientIP()，例如：func realIPMiddleware() gin.HandlerFunc { return func(c *gin.Context) { if ip := c.Request.Header.Get("X-Real-IP"); ip != "" { c.Request.Header.Set("X-Forwarded-For", ip) } c.Next() } }
Kubernetes NodePort / Ingress 场景下的关键补丁
即便 Gin 和 Nginx 都配对了，K8s Service 默认会做 SNAT，导致后端看到的 RemoteAddr 是 kube-proxy 的 IP，而非真实客户端 IP。
解决路径分两层：
- Service 层：将
externalTrafficPolicy改为"Local"，避免跨节点 SNAT：kubectl patch svc your-svc -p '{"spec":{"externalTrafficPolicy":"Local"}}' - Ingress 层（如 Nginx Ingress）：确保启用了
use-forwarded-headers: "true"，并在 ConfigMap 中配置real-ip-header: "X-Forwarded-For"和set-real-ip-from可信网段 - 验证是否生效：在 Gin handler 中打印
c.Request.RemoteAddr和c.Request.Header.Get("X-Forwarded-For")，确认前者已变为客户端公网 IP（或至少是 Ingress 节点 IP），后者含有多级 IP 链
Nginx 配置中容易被忽略的三个细节
Nginx 是 Gin 获取真实 IP 的前置守门人，错一处，后端全白配。
- 必须用
$proxy_add_x_forwarded_for，而不是$remote_addr：前者会在原有X-Forwarded-For基础上追加，后者直接覆盖，导致多级代理下丢失原始 IP - 禁用下划线支持：
underscores_in_headers off;（默认就是 off，但有人显式设为 on，会导致X-Real-IP被丢弃） -
proxy_set_header X-Real-IP $remote_addr;这行不能少——很多教程只写X-Forwarded-For，但 Gin 默认优先看X-Real-IP，且它只含一个 IP，更可靠
最简可用 Nginx location 片段：
location / {
proxy_pass http://backend;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;
proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
proxy_set_header X-Forwarded-Proto $scheme;
}
真实 IP 获取不是“调一个函数就完事”，而是 Gin 信任配置、Nginx 头注入、K8s 网络策略三者咬合的结果。任一环缺失或错位，c.ClientIP() 返回的就只是代理的影子。
