$_SERVER['REMOTE_ADDR']不是唯一可靠的客户端真实IP，它仅表示与Web服务器直连的对端IP，经代理或CDN后即变为上一跳内网IP；应结合可信代理配置X-Real-IP或校验X-Forwarded-For。
$_SERVER['REMOTE_ADDR'] 是唯一可靠的客户端真实IP吗？
不是。它只反映与当前 Web 服务器建立 TCP 连接的直接对端 IP，通常在无代理、无 CDN 场景下才是用户真实出口 IP；一旦经过 Nginx 反向代理、负载均衡或 CDN（如 Cloudflare），它就变成上一跳服务器（如 Nginx 的内网 IP）。
常见错误现象：$_SERVER['REMOTE_ADDR'] 固定为 127.0.0.1 或 10.x.x.x —— 这说明请求经本地反代（如 Apache + Nginx 或 Docker 网络），但未正确透传原始 IP。
实操建议：
- 若用 Nginx 作反向代理，必须在配置中显式设置：
proxy_set_header X-Real-IP $remote_addr;和proxy_set_header X-Forwarded-For $remote_addr;（或追加模式） - PHP 中不能只依赖
$_SERVER['REMOTE_ADDR']做访问限制或日志记录，尤其在线上多层架构中 - 该值无法被客户端伪造（底层 socket peer address），所以适合做基础连接校验，比如防止空连接或快速拒绝内网扫描
X-Forwarded-For 和 X-Real-IP 哪个更值得信？
X-Forwarded-For 是逗号分隔的字符串（如 "203.0.113.42, 198.51.100.1"），理论上最左是原始客户端 IP，后续是各级代理 IP；X-Real-IP 通常是单个 IP，由最后一层可信代理（如你自己的 Nginx）覆盖设置。
立即学习“PHP免费学习笔记（深入）”；
关键区别在于信任链：只有你完全控制并明确配置了某一层代理时，才可信任它设置的 X-Real-IP；而 X-Forwarded-For 可被任意中间节点或恶意客户端追加，未经校验直接使用会导致 IP 伪造漏洞。
实操建议：
- 只从你可控的最后一层反向代理（如公司内部 Nginx）读取
X-Real-IP，且确保该代理不接受外部伪造的该 header - 若必须解析
X-Forwarded-For，需结合$_SERVER['REMOTE_ADDR']白名单判断“谁有资格提供可信转发”——例如仅当$_SERVER['REMOTE_ADDR']属于10.0.0.0/8或172.16.0.0/12时，才取其X-Forwarded-For最左非私有 IP - Cloudflare 等 CDN 会提供
HTTP_CF_CONNECTING_IP（需开启 IP Geolocation 功能），它比X-Forwarded-For更可靠，但仅限其生态内有效
$_SERVER 中还有哪些 IP 相关字段容易被忽略？
除了常见字段，PHP 在不同 SAPI（如 Apache、FPM、CLI）和服务器配置下还可能暴露其他 IP 信息，有些是环境副作用，有些需主动启用。
值得关注的字段：
-
$_SERVER['SERVER_ADDR']：当前 Web 服务器监听的 IP（即本机网卡地址），可用于区分多站点绑定或判断是否运行在容器内（如172.17.0.2） -
$_SERVER['SERVER_NAME']：DNS 解析出的主机名，非 IP；但配合gethostbyname()可反查 IP，注意 DNS 缓存和 hosts 覆盖影响 -
$_SERVER['HTTP_X_CLUSTER_CLIENT_IP']：某些老版负载均衡（如 AWS ELB 经典型）使用，现已基本被X-Forwarded-For替代 -
$_SERVER['HTTP_X_FORWARDED_FOR']和$_SERVER['HTTP_X_REAL_IP']—— 注意 PHP 默认将 HTTP header 转为大写 + 下划线格式，所以实际键名含HTTP_前缀
性能提示：频繁调用 gethostbyname() 或 gethostbyaddr() 会触发 DNS 查询，阻塞请求；如需反向解析，建议异步记录或缓存结果。
如何写一个安全、兼容的 get_client_ip() 函数？
没有万能函数，但可以按信任等级逐级 fallback，并严格限制可信代理段。下面是一个生产可用的简化逻辑（不依赖第三方库）：
function get_client_ip(): ?string
{
$ip = $_SERVER['REMOTE_ADDR'] ?? null;
// 只有当 REMOTE_ADDR 是你信任的代理网段时，才尝试读取转发头
$trustedProxies = ['127.0.0.1', '10.0.0.0/8', '172.16.0.0/12', '192.168.0.0/16'];
if (is_trusted_proxy($ip, $trustedProxies)) {
if (!empty($_SERVER['HTTP_X_REAL_IP'])) {
$ip = $_SERVER['HTTP_X_REAL_IP'];
} elseif (!empty($_SERVER['HTTP_X_FORWARDED_FOR'])) {
$ips = array_map('trim', explode(',', $_SERVER['HTTP_X_FORWARDED_FOR']));
foreach ($ips as $candidate) {
if (!is_private_ip($candidate)) {
$ip = $candidate;
break;
}
}
}
}
return filter_var($ip, FILTER_VALIDATE_IP) ? $ip : null;}
function is_trusted_proxy(string $addr, array $cidrs): bool { / 实现 CIDR 匹配 / }
function is_private_ip(string $ip): bool { / 检查是否为 127/10/172.16–31/192.168/::1/fc00::/fd00:: / }
容易踩的坑：
- 直接
explode(',', $_SERVER['HTTP_X_FORWARDED_FOR'])[0]—— 忽略空格、多余逗号、伪造内容 - 把所有
X-Forwarded-For都当成可信，导致攻击者发X-Forwarded-For: 1.2.3.4, 127.0.0.1就绕过限制 - 没过滤 IPv6 地址中的压缩格式（如
::1）或非法字符，导致filter_var失败
复杂点在于：你永远得知道你的网络拓扑——哪一层是你可控的边界代理，哪一层是不可信公网入口。脱离这个前提谈“获取真实 IP”，本质上是在猜。
