多级代理下IP漂移的本质是每跳代理将上一跳IP当作客户端写入X-Forwarded-For，导致真实IP被覆盖或混杂；解决需可信链路识别、递归剥离与后端适配三步闭环。
多级代理下 IP 漂移的本质，是每跳代理都把上一跳的 IP 当作“客户端”写入请求头，导致真实用户 IP 被层层覆盖或混在一堆中间地址里。解决它不靠猜、不靠拼接，而靠可信链路识别 + 递归剥离 + 后端适配三步闭环。
每一层都要透传 X-Forwarded-For，但写法必须分阶段
不能所有层都用同一个变量，否则会丢首跳、重复追加或覆盖原始值：
- 第一层（直连公网或 CDN）：用 proxy_set_header X-Forwarded-For $remote_addr; —— 初始化，只写用户真实 IP
- 后续每一层（如 WAF → LB → 网关）：统一用 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for; —— 自动在已有值末尾追加本层看到的 $remote_addr，形成 203.0.113.45, 198.51.100.1, 203.0.113.10 这样的链式结构
- 严禁任何一层写
X-Forwarded-For $remote_addr或清空该头，否则链路断裂
最后一层 Nginx 必须启用 realip 模块做可信校验
只转发不验证，等于把伪造风险全交给后端。必须由最终接入的 Nginx 完成剥离：
- 确认编译时已启用 --with-http_realip_module
- 在 http/server/location 块中明确声明可信上游：set_real_ip_from 198.51.100.1;（CDN 回源 IP）、set_real_ip_from 10.0.0.0/8;（内网 LB 段）等
- 指定解析来源：real_ip_header X-Forwarded-For;
- 开启递归模式：real_ip_recursive on; —— Nginx 会从右往左跳过所有可信 IP，取第一个非可信地址作为真实客户端 IP，并自动更新 $remote_addr
后端服务必须读取修正后的 IP，而不是原始头字段
很多应用直接解析 X-Forwarded-For 字符串取第一个值，这在多级代理下极易被伪造或误判：
- PHP-FPM：只要 Nginx 启用 realip，fastcgi_param REMOTE_ADDR $remote_addr; 就能拿到已校验的真实 IP
- Java（Tomcat/Spring Boot）：需配置 server.forward-headers-strategy=framework，并确保内嵌容器设置了
setRemoteIpHeader("X-Forwarded-For") - Node.js（Express）：设 app.set('trust proxy', true)，框架会自动信任 X-Forwarded-* 头
- 禁止后端代码手动 split HTTP_X_FORWARDED_FOR 取首项 —— 这绕过了可信校验，失去安全意义
别漏掉 Host 和 Proto 头的透传
IP 是重点，但不是全部。这两项不一致会导致后端路由错乱、HTTPS 判断失败、静态资源路径异常：
- proxy_set_header Host $http_host; —— 保留原始 Host，避免后端因域名变化拒绝请求或返回错误重定向
- proxy_set_header X-Forwarded-Proto $scheme; —— 显式告诉后端原始协议是 http 还是 https，防止强制跳转死循环
