proxy_pass本身不提供IP限制功能，真正的IP访问控制必须在location或server块中通过allow/deny指令实现：需显式列出允许的IP或网段，并以deny all结尾；若前端有CDN或LB，须配合real_ip模块解析X-Forwarded-For头还原真实IP后再控制；严禁在upstream中配置或把allow/deny置于proxy_pass之后。
proxy_pass 本身不提供 IP 限制功能，它只是负责将请求转发到后端服务。真正的 IP 访问控制必须在 proxy_pass 所在的 location 或 server 块之前完成，即通过 Nginx 的访问控制指令（如 allow / deny）来实现。
下面分三部分说明如何安全、准确地限制能使用 proxy_pass 代理访问后端服务的客户端 IP 范围：
一、用 allow/deny 控制可访问代理路径的来源 IP
这是最常用且可靠的方式：在定义 `proxy_pass` 的 location 块中，显式列出允许的 IP 或网段，其余一律拒绝。
- 支持单个 IP：
allow 192.168.1.100; - 支持 CIDR 网段：
allow 10.0.0.0/8;、allow 172.16.0.0/12; - 必须以
deny all;结尾，否则默认全部放行 - 规则按顺序匹配，第一条命中即生效
示例配置：
location /api/ {
allow 192.168.5.0/24;
allow 2001:db8::/32;
deny all;
<pre class="brush:php;toolbar:false;">proxy_pass http://backend_service;
proxy_set_header Host $host;
proxy_set_header X-Real-IP $remote_addr;}
aperture: the L402 aware reverse proxy
下载
安装并运行 Aperture（Lightning Labs 的 L402 闪电反向代理），用于创建 L402 付费墙、配置付费 API 端点、为其他代理托管付费内容或测试 L402 认证流程。
二、结合 real_ip 模块处理代理链中的真实客户端 IP
如果你的 Nginx 前面还有 CDN、负载均衡器（如阿里云 SLB、AWS ALB），客户端真实 IP 会藏在 X-Forwarded-For 或 X-Real-IP 头里，此时直接用 $remote_addr 判断会失效。
- 需启用
ngx_http_realip_module（Nginx 默认编译包含，无需额外安装） - 在 http 或 server 块中配置可信代理 IP（即你已知的上游代理地址）
- 再用
allow/deny对$remote_addr（此时已是真实 IP）做判断
示例：
set_real_ip_from 192.168.10.0/24; # 你的 CDN 或 LB 内网 IP 段
set_real_ip_from 203.208.XX.XX; # 某个具体回源 IP
real_ip_header X-Forwarded-For;
real_ip_recursive on;
<p>location /admin/ {
allow 192.168.1.50;
deny all;
proxy_pass <a href="https://www.php.cn/link/e0e04ecb1cc2447fab5f44a6023d6153">https://www.php.cn/link/e0e04ecb1cc2447fab5f44a6023d6153</a>;
}三、避免常见错误
以下做法无法达到预期效果，需特别注意：
- ❌ 在
upstream块里写allow—— upstream 不处理请求准入，只定义后端节点 - ❌ 把
allow/deny放在proxy_pass之后 —— Nginx 配置语法要求访问控制必须在 proxy 指令前生效 - ❌ 忘记
deny all—— 缺失该行等于全放开，非常危险 - ❌ 用
if ($remote_addr = ...)判断 IP —— if 在 location 中行为不可靠，且性能差，官方明确不推荐用于访问控制
Nginx 的 IP 限制逻辑清晰、开销极低，只要把 allow/deny 放对位置，就能精准拦截非授权访问，不需要额外模块或脚本。
