Apache集群代理转发丢失真实IP，本质是REMOTE_ADDR被覆盖为末级代理内网地址；须启用mod_remoteip模块，配置RemoteIPHeader指定头（如X-Forwarded-For），并严格设置RemoteIPTrustedProxy列出所有可信代理出口IP或网段，使Apache主动校验并替换变量。

apache 集群代理转发时丢失客户端真实 ip，本质是请求经过多层代理后，remote_addr 变量被覆盖为最后一级代理的内网地址。解决的关键不是让后端“自己去猜”，而是由 apache 主动识别、校验并替换这个变量。

启用 mod_remoteip 模块并严格配置可信代理

这是最推荐、最安全的方式（Apache 2.4+ 内置支持）：

• 确认模块已加载：LoadModule remoteip_module modules/mod_remoteip.so
• 指定真实 IP 所在的请求头：RemoteIPHeader X-Forwarded-For（若上游用 Cf-Connecting-IP 或 X-Real-IP，需同步改这里）
• 严格列出所有中间代理的真实出口 IP 或网段：RemoteIPTrustedProxy 192.168.10.5、RemoteIPTrustedProxy 203.0.113.45/32、RemoteIPTrustedProxy 10.0.0.0/8 等——少一个，链就断，REMOTE_ADDR 会退回到上一级代理 IP

确保上游代理正确生成并追加 X-Forwarded-For

Apache 不会自己创建该头，它只负责解析。上游必须把客户端 IP 写进去：

Apache Superset Dashboard and SQL Exploration Skill

Apache Superset 是一个广泛采用的开源 BI 平台，用于 SQL 探索、图表构建和仪表板交付。当代理需要查询仓库数据、组装仪表板或使用成熟的分析界面解释指标而不是临时笔记本代码时，此技能非常有用。

下载

• Nginx 反向代理：用 proxy_set_header X-Forwarded-For $proxy_add_x_forwarded_for;
• CDN（如 Cloudflare、阿里云 SLB）：默认携带，但注意它们可能用 Cf-Connecting-IP 或 X-Real-IP，此时需同步修改 RemoteIPHeader
• Apache 自身作为前端代理：需显式添加，例如配合 mod_headers：RequestHeader set X-Forwarded-For "%{REMOTE_ADDR}e" early

同步更新日志与后端读取方式

mod_remoteip 修正的是服务器内部变量，但默认日志仍记录代理 IP：

• 日志格式中把 %h 改为 %a，才能在 access_log 中看到真实 IP
• 后端代码应直接使用 $_SERVER['REMOTE_ADDR']（PHP）、request.remote_addr（Python WSGI）等——不要再手动从 HTTP_X_FORWARDED_FOR 提取，绕过可信校验易被伪造
• 若用了 PROXY Protocol（如 HAProxy 启用），还需加 RemoteIPProxyProtocol On

验证是否生效的三个关键点

配置完成后，重点检查：

• 执行 httpd -M | grep remoteip，确认模块已加载
• 开启 Apache 请求头记录（如用 %{X-Forwarded-For}i 单独记日志），确认到达的值形如 203.0.113.45, 192.168.1.10，且最左侧确实是客户端 IP
• 检查 RemoteIPTrustedProxy 是否覆盖了所有中间代理的真实出口 IP —— 少一个，REMOTE_ADDR 就不会变成用户真实地址