Nginx 正确识别真实客户端 IP 的核心是启用 realip 模块并严谨配置：需通过 set_real_ip_from 限定可信代理网段，用 real_ip_header 指定可信头（如 X-Forwarded-For 或 CF-Connecting-IP），并依代理层级合理设置 real_ip_recursive on/off。
要让 Nginx 正确识别并使用真实客户端 IP，核心是启用和配置 HttpRealipModule（realip 模块），它不是靠“安装”而是靠编译时启用或发行版默认包含。只要模块已存在，关键在配置逻辑是否严谨——重点在于信任边界、头字段选择和递归策略。
确认 realip 模块是否可用
大多数主流发行版（如 Ubuntu 官方包、CentOS Stream、Alpine 的 nginx-full）默认已编译该模块。验证方式：
- 执行 nginx -V 2>&1 | grep -o with-http_realip_module，若输出该字符串，说明已启用
- 若无输出，需更换含该模块的 Nginx 包，或自行编译时添加 --with-http_realip_module
设置可信代理来源（set_real_ip_from）
这是安全前提：Nginx 只信任来自指定 IP 或网段的请求所携带的 X-Forwarded-For 或 X-Real-IP 头。不可写 0.0.0.0/0（除非测试环境且无公网暴露）。
- 单层 CDN 或云负载均衡（如 Cloudflare、阿里云 SLB、腾讯云 CLB）：填其官方公布的出口 IP 段，例如 set_real_ip_from 173.245.48.0/20;
- 内网多级代理：填上一级 Nginx 或 LB 的实际出口 IP，如 set_real_ip_from 10.10.20.5; 或 set_real_ip_from 192.168.100.0/24;
- 本地测试用 Docker 或 localhost：可加 set_real_ip_from 127.0.0.1;
指定真实 IP 来源头（real_ip_header）
告诉 Nginx 从哪个 HTTP 头读取原始 IP。不同场景选不同头：
- 标准反向代理链（自建 Nginx → Nginx → 后端）：用 real_ip_header X-Forwarded-For;
- Cloudflare 用户：应改用 real_ip_header CF-Connecting-IP;（更安全，不被伪造）
- 仅有一层可信代理且它只设 X-Real-IP：可用 real_ip_header X-Real-IP;
- 支持 RFC 7239 的现代代理（如 Envoy、Traefik）：可选 real_ip_header Forwarded;
控制递归解析行为（real_ip_recursive）
决定 Nginx 如何从 X-Forwarded-For 列表中提取真实 IP：
- 设为 on：从右往左，跳过所有可信代理 IP，取第一个非可信地址（适合多级代理）
- 设为 off（默认）：只取 X-Forwarded-For 最左边的 IP（即最原始客户端 IP，但若中间有不可信代理插入，可能被污染）
- 举例：X-Forwarded-For: 203.0.113.1, 192.168.1.100, 10.0.0.5，其中后两个是可信代理网段 → real_ip_recursive on 会返回 203.0.113.1
