Echo.Context.RealIP() 返回127.0.0.1或代理IP，是因为默认IPExtractor仅信任直连请求的RemoteAddr；需显式配置可信CIDR网段（如127.0.0.1/32、10.0.0.0/8等）并调用e.IPExtractor()初始化，否则无法从X-Real-IP或X-Forwarded-For中安全提取真实客户端IP。
为什么 echo.Context.RealIP() 有时返回 127.0.0.1 或代理 IP
因为 RealIP() 默认只信任直连请求的 RemoteAddr，而实际部署中请求通常经过 Nginx、Cloudflare、ALB 等反向代理。这些代理会把真实客户端 IP 放在 X-Forwarded-For（或 X-Real-IP）头部，但 Echo 不会自动信任这些头——除非你显式配置可信代理网段。
必须调用 e.IPExtractor() 并传入可信 CIDR 列表
Echo 的 RealIP() 行为由 IPExtractor 控制，默认 extractor 只信任直连，要支持代理必须自定义。常见错误是只加中间件却不重置 extractor：
- ✅ 正确做法：在初始化 Echo 实例后，立即调用
e.IPExtractor(e.NewIPExtractor(["10.0.0.0/8", "172.16.0.0/12", "192.168.0.0/16", "127.0.0.1/32"])) - ❌ 错误做法：只写
e.Use(middleware.RateLimiter(...))却没设 extractor，此时c.RealIP()仍不可靠 - ⚠️ 注意：
"127.0.0.1/32"必须包含——本地开发时 Echo 常跑在 localhost，不加它会导致开发环境也拿不到真实 IP
X-Forwarded-For 和 X-Real-IP 的优先级与解析逻辑
Echo 的默认 IPExtractor 按固定顺序检查头部：X-Real-IP → X-Forwarded-For → RemoteAddr。但它**不会无条件取 X-Forwarded-For 第一个值**，而是从右往左找第一个「来自可信代理」的 IP：
Echo框架 5.1.0
下载
Echo框架 5.1.0 版本源码包下载，适合关注 RealIP 行为变化、StartConfig.Listener、NewDefaultFS 和观测性中间件入口的开发团队。
- 假设请求链路：客户端
203.0.113.5→ Nginx（10.10.10.10）→ Echo - Nginx 设置：
proxy_set_header X-Forwarded-For "$remote_addr, $proxy_add_x_forwarded_for"; - 那么
X-Forwarded-For: 203.0.113.5, 10.10.10.10 - 因为
10.10.10.10在你配置的可信 CIDR（"10.0.0.0/8"）内，extractor 会取它左边的203.0.113.5
生产环境务必关闭 echo.HTTPErrorHandler 泄露 IP 的风险
默认错误处理器会在响应体中打印完整请求信息，可能暴露 X-Forwarded-For 原始值（含恶意伪造头）。即使你已正确配置 extractor，仍需清理错误输出：
- 覆盖默认 handler：
e.HTTPErrorHandler = func(err error, c echo.Context) { /* 自定义日志 + 通用错误响应 */ } - 避免在日志中直接输出
c.Request().Header.Get("X-Forwarded-For")—— 它未经过 extractor 校验，不可信 - 真正该记录的是
c.RealIP()，它已过滤并验证过
可信代理配置漏一条、extractor 初始化晚于路由注册、或者错误处理器打日志太随意——这三个点任何一个出问题，RealIP() 就不可信。别只测 localhost，一定要用 curl 模拟带 X-Forwarded-For 的请求，在 Docker 网络或真实 LB 后验证。
