需配置real_ip模块：设set_real_ip_from为可信代理IP段，real_ip_header指定X-Forwarded-For等头字段，启用real_ip_recursive递归解析，并在日志中使用$remote_addr记录真实客户端IP。
要解决 Nginx 在多级反向代理中访问日志记录 IP 不准确的问题，核心是确保最前端真实客户端 IP 能逐级透传，并在最终 Nginx（通常是应用服务器前的那台）正确识别和记录。关键不在日志格式本身，而在请求头处理、信任代理链、以及 real_ip 模块的配置是否匹配实际网络拓扑。
确认真实 IP 是通过哪个 HTTP 头传递的
常见代理（如 CDN、负载均衡器、前置 Nginx）会把原始客户端 IP 写入特定请求头，最常用的是 X-Forwarded-For，也有用 X-Real-IP、X-Cluster-Client-IP 等。需与上游代理方确认其实际设置的头字段名和格式（例如：X-Forwarded-For 可能是逗号分隔的 IP 链，如 203.0.113.5, 192.168.10.20）。
可在最终 Nginx 的日志中临时加一条调试日志验证：
log_format debug '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent" "$http_x_forwarded_for" "$http_x_real_ip"';
然后查看日志输出，确认真实客户端 IP 是否出现在某个头里，以及位置（最左？最右？）。
配置 real_ip 指令，明确可信代理段和取值逻辑
Nginx 的 real_ip 模块负责用可信代理传来的头覆盖默认的 $remote_addr。必须同时满足两个条件才生效：
- 请求来源 IP 属于 set_real_ip_from 指定的可信代理地址（支持 IP 或 CIDR）
- 该请求携带了指定的头（如 real_ip_header X-Forwarded-For），且按规则提取出有效 IP
例如，你有两级代理：CDN → 公司 LB（10.10.1.10）→ 应用 Nginx。则应在应用 Nginx 的 server 或 http 块中配置：
set_real_ip_from 10.10.1.10;
set_real_ip_from 10.10.0.0/16;
real_ip_header X-Forwarded-For;
real_ip_recursive on;
real_ip_recursive on 表示启用递归解析：从 X-Forwarded-For 最右侧开始，跳过所有已知可信代理 IP，取第一个不可信 IP 作为真实客户端 IP。若为 off，则只取最左侧（可能被伪造）。
检查日志变量是否使用了 $remote_addr
默认 log_format 中的 $remote_addr 是原始 TCP 连接发起方 IP（即上一级代理 IP）。只有 real_ip 成功执行后，$remote_addr 才会被替换为真实客户端 IP —— 前提是 real_ip 配置已加载且生效。
推荐在日志格式中显式使用 $remote_addr（它已被 real_ip 动态更新），而不是尝试读取 $http_x_forwarded_for，后者未做清洗，可能含多个 IP 或空值。例如：
log_format main '$remote_addr - $remote_user [$time_local] "$request" $status $body_bytes_sent "$http_referer" "$http_user_agent"';
验证配置并排除常见陷阱
运行 nginx -t 确保语法正确；重载后用 curl -H "X-Forwarded-For: 203.0.113.5" http://your-site/ 测试（注意模拟可信源 IP，否则 real_ip 不触发）；查 error.log 是否有 "realip: invalid address" 类报错。
常见疏漏包括：
- set_real_ip_from 写错了代理 IP 或遗漏某级（如忘了 CDN 的出口段）
- real_ip_header 名称拼写错误，或大小写不一致（HTTP 头名不区分大小写，但 Nginx 配置严格匹配字符串）
- 代理本身没传 X-Forwarded-For（比如公司 LB 配置漏了 proxy_set_header）
- 启用了 real_ip_recursive 但没设对可信段，导致“全链都可信”，最终取到空值
