多级代理嵌套下请求头验证需分层逐跳比对，重点检查X-Forwarded-For、X-Real-IP、X-Forwarded-Proto和Host四类头，通过curl模拟、Nginx日志/响应头回显、realip模块配置及后端服务回显实现全链路精准验证。
测试多级代理嵌套下请求头是否完整准确传递，核心是“分层验证 + 逐跳比对”，不能只看最终后端收到什么，而要确认每一跳的输入和输出是否符合预期。重点验证 X-Forwarded-For、X-Real-IP、X-Forwarded-Proto 和 Host 这四类关键头。
用 curl 模拟请求并逐层抓包观察
从客户端发起带明确标识的请求，再在每层 Nginx 上开启 access_log 或用 tcpdump 抓包，对比头内容变化：
- 构造可识别的原始请求：
curl -H "X-Test-ID: test-123" https://api.example.com/v1/ping - 在每台中间 Nginx 的
log_format中加入关键头字段，例如：log_format debug '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_x_forwarded_for" "$http_x_real_ip" "$http_x_forwarded_proto" "$http_host" "$http_x_test_id"'; - 查看各层日志，确认
X-Forwarded-For是否按客户端IP, 第1跳IP, 第2跳IP顺序累加，且无覆盖或截断
在每层 Nginx 中临时返回响应头用于调试
不依赖后端，直接让某一层 Nginx 把它收到的头原样回显，快速定位断裂点：
- 在目标 location 块中添加：
add_header X-Debug-Received-XFF "$http_x_forwarded_for";<br>add_header X-Debug-Received-XRealIP "$http_x_real_ip";<br>add_header X-Debug-RemoteAddr "$remote_addr";
- 用 curl 查看响应头：
curl -I https://api.example.com/v1/ping - 若某层返回的
X-Debug-Received-XFF为空或只有单个 IP，说明上一跳未透传或配置了proxy_set_header X-Forwarded-For $remote_addr（覆盖写法）
检查最终后端收到的头是否被 realip 模块正确修正
即使前端头全链路透传，后端 Nginx 若未启用 realip 校验，应用拿到的仍是最后一跳代理 IP：
- 确认最终入口 Nginx 已加载
http_realip_module（运行nginx -V 2>&1 | grep http_realip） - 检查配置中是否设置了
set_real_ip_from（必须精确到每级上游出口 IP 或网段） - 在该 server 块中加一行：
add_header X-Debug-RealIP "$realip_remote_addr";，对比$remote_addr和$realip_remote_addr是否一致 - 若不一致，说明
real_ip_recursive on未生效，或set_real_ip_from范围没覆盖上一跳真实出口地址
用简单后端服务做头回显验证
部署一个轻量 HTTP 服务（如 Python Flask 或 Node.js Express），只做一件事：把所有请求头打印出来：
- 例如 Flask 示例：
@app.route('/debug/headers')<br>def debug_headers():<br> return dict(request.headers) - 确保该服务部署在最终 Nginx 后端，并确认其框架已启用信任代理（如 Flask 配置
app.config['TRUSTED_PROXIES'] = ['10.0.0.0/8', '172.16.0.0/12']） - 访问
/debug/headers，重点核对：
–X-Forwarded-For字符串长度与跳数是否匹配
–X-Real-IP是否等于最左 IP（未校验时）或X-Debug-RealIP（校验后）
–X-Forwarded-Proto是否为https（当原始请求是 HTTPS 时）
