Apache mod_proxy_balancer本身不传递真实IP，需通过RequestHeader注入X-Forwarded-For头、启用mod_remoteip模块并配置RemoteIPHeader与可信代理网段，使REMOTE_ADDR还原为真实客户端IP，后端应用还需开启forward headers支持。
apache mod_proxy_balancer 本身不传递真实客户端 ip，后端服务器看到的 remote_addr 默认是 apache 本机地址（如 127.0.0.1 或内网 ip）。要解决真实 ip 丢失，关键不是“让 balancer 模块自己处理”，而是**在代理转发过程中主动注入、识别并可信还原原始 ip**。核心靠三件事：正确传递头信息、启用可信解析模块、后端应用配合读取。
必须配置 X-Forwarded-For 头传递
Apache 不会自动设置 X-Forwarded-For，需显式用 RequestHeader 补充：
- 在
<VirtualHost>或全局配置中加入：RequestHeader set "X-Forwarded-For" "%{REMOTE_ADDR}e" - 若前端还有 Nginx/CDN，该头可能已存在，此时应改用：
RequestHeader edit "X-Forwarded-For" "^(.+)$" "$1, %{REMOTE_ADDR}e"（追加而非覆盖） - 同时建议补全协议和主机头：
RequestHeader set "X-Forwarded-Proto" "https" env=HTTPSRequestHeader set "X-Forwarded-Host" "%{HTTP_HOST}e"
启用 mod_remoteip 模块还原 REMOTE_ADDR
仅传头不够——后端代码通常直接调用 request.getRemoteAddr()，它读的是 REMOTE_ADDR 变量。要用 mod_remoteip 把可信的客户端 IP 写进这个变量：
CPA Update - Secure CLI Proxy API Maintenance
下载
安全更新和维护 CLI Proxy API（CPA）部署与配置。用于 CPA 镜像升级、配置变更、认证目录兼容修复、上线验证与回滚。适用于用户提到“CPA 更新/升级/配置改了/容器重建/回滚”等场景。
- 确认已加载：
LoadModule remoteip_module modules/mod_remoteip.so - 指定信任的代理网段（必须严格！不能写
0.0.0.0/0）：RemoteIPInternalProxy 192.168.1.0/24RemoteIPInternalProxy 127.0.0.1 - 声明从哪个头提取 IP：
RemoteIPHeader X-Forwarded-For - 配置生效后，
REMOTE_ADDR就是链中第一个可信 IP，Java/PHP/Python 应用无需改代码即可直接使用
后端应用必须主动解析或启用兼容模式
即使 Apache 做对了所有配置，如果后端不认这些头，真实 IP 依然无效：
- Spring Boot 2.6+：在
application.yml加server.forward-headers-strategy: native - Tomcat：在
server.xml的Connector中加remoteIpHeader="X-Forwarded-For" protocol="org.apache.coyote.http11.Http11NioProtocol" - Node.js（Express）：
app.set('trust proxy', true)（自动信任 XFF 第一个 IP） - PHP：
$_SERVER['HTTP_X_FORWARDED_FOR']手动读取，但需校验是否来自可信代理
避免常见陷阱
很多问题其实出在细节上：
-
多层代理时 XFF 链过长：只信任你控制的上一级代理（比如 Nginx），其他中间 CDN/IP 不应列入
RemoteIPInternalProxy，否则会被伪造 -
没启用必要模块：检查
httpd -M | grep -E "(proxy|remoteip|headers)"，缺proxy_http或remoteip直接失败 - ProxyPassReverse 缺失：导致后端重定向跳转到内网地址，用户无法访问，间接影响 IP 日志记录完整性
- Java 应用仍返回 127.0.0.1：说明 Tomcat 或 Spring Boot 没开启 forward headers 支持，Apache 配置再对也白搭
